钱包吸血鬼：一次授权点击，资产洗劫一空

围绕钱包吸血鬼（Wallet Drainer），上演着一出极其真实的悲喜剧——但这绝非一出闹剧，因为根本没人笑得出来。多年来行业的说教已让用户习惯了忍受浏览器警告、钱包警告、dApp 警告、代币授权确认以及盲签——这就是身处 Web3 所必须付出的代价。以太坊备受推崇的委托原语原本旨在让所有人的生活变得更轻松，直到人们意识到，主网上大多数的委托合约根本不是账户抽象合约，而是钱包清道夫。安全表演的培训师们向受众灌输，没有链上的无许可签名就无法领取免费的加密货币空投；与此同时，一站式钱包盗窃工具包的供应商们却将他们全天候的售后支持标榜为加密犯罪分子的顶级结账体验。

从长远来看，总有一个指标能击碎盲目的乐观主义。Scam Sniffer 今年的报告证实了这一点：钱包吸血鬼造成的损失接近 500 million。2024 年发起此类攻击的地址数量为 332 thousand。接下来的年度数据展现出了明显的规律：报告的吸血鬼钓鱼损失同比下降超过 80%，降至 83.85 million，受影响的账户数量也出现了几乎同比例的减少。

当迷因币（Meme 代币）和相关的 ETH 交易量再次激增时，损失又一次飙升；但随着下一波诈骗潮的到来，同样出现了回落。每位受害者平均损失变小（但仍处于相对可观的 790 USD 以上），这表明该行业有多么热衷于从金字塔底层的散户身上榨取利润。

这是一个任何安全营销托儿都不愿承认的现实：生态系统里的安全表演与黑市基础设施产业原本就是同一枚硬币的两面。一些人的领英简历上写着多年安全托管、交易模拟和钓鱼检测的经验；而另一些人则写着吸血鬼工具包开发、钓鱼培训营经历以及 Discord 管理员履历。如果一名行业内部人士从加密安全倡导者转行成为暗网创业者，他们完全可以合情合理地每六个月更新一次简历，在以往的审计与智能合约安全专长旁，赫然列上 EIP-7702 无许可钓鱼 permit 经验以及规避 Chainalysis 的空投诈骗技巧。在这个人才库里大家心照不宣，每个钓鱼团伙背后都有一位头部交易所的内部人员，可以向其输送数十万 USD 等值的以太坊，以此作为生意的敲门砖。

用户很少是因为愚蠢而沦为诈骗的受害者，更多是因为弹出的确认窗口看起来太人畜无害了。钱包不会用繁琐的交易细节打扰你，相反，它们在提醒你订阅他们的时事通讯，而在后台却悄悄解绑代理、转移 NFT、委托执行权限或授权无限额度支出。加密文化鼓吹数字自由和自主保管是至高无上的主权（除非用户本身就是骗子），但如今每当他们喜爱的项目推出治理代币或 NFT 系列时，无许可协议就会用铺天盖地的无许可授权和无许可智能合约执行来惩罚原生代币的持有者。

你身边刚入圈的朋友会带着 Web3 初学者的坚定信念告诉你，他们使用的带有红色标志的移动应用“银行”从未被黑过；而你的 EIP-4844 体验却永远笼罩在闪电贷攻击中损失 550 thousand DAI 的阴影之下。他们认为无许可自主保管教条对于与普通无许可智能合约进行交互的普通 Web3 用户而言并不是充分的安全措施，这种想法是正确的——毕竟这些合约的前端代码经常发生代币泄露或存在零日漏洞。同样是作为 2024 年半数诈骗根源的 EIP-7702 permit 委托，若正确执行，本可以让用户在同一条链上批量处理多笔带有授权的交易，而每个账户只需花费极少的 Gas 成本。同样，让你在发送 10 USDT 前思前想后的 TRON Energy 机制，若正确执行，可以让企业以单笔交易的价格处理数百笔此类转账。

工具包、Permit 与委托

将吸血鬼市场理解为一个软件行业最为贴切，其潜在客户仅限于已知的不法分子。Inferno、Pink Drainer、Angel、Venom、Monkey、MS Drainer、Ace 等数个家族是服务提供商，他们的业务包括钓鱼网站、钱包检测脚本、资产扫描、智能合约、控制面板、数据分析、分销系统以及向操盘手结算收益。在最成熟的产品中，客户可以选择直接从受害者地址按比例抽取资金，通常在 15% 到 30% 之间。研究人员在以太坊上分析“吸血鬼即服务”（Drainer-as-a-Service）领域时，发现有数千个账户通过已知合约从盗窃经济中获利，其中以 Angel、Inferno 和 Pink 最为猖獗。

这为吸血鬼产业创造了一种特殊的激励机制，其风险极少会牵涉到整个团伙的饭碗。一个人可能负责搭建和维护钓鱼网站，另一个人可能负责后端运作，或者专职去寻找新的受害者。如果攻击者成功将欺诈链接植入项目的社交媒体发文中，或者获取了公司的广告投放权限，剩下的事情就相对简单了：钱包吸血鬼工具包会接管大部分操作，包括展示钓鱼页面、扫描用户资产以及归集资金。受害者数量和转化率都可以被监控，熟练的攻击者可以详细分析推广活动的效果，试图找出最有效的传播媒介、渠道、文案和发布时机。犯罪分子的技术支持绝非可有可无的选项或冰冷的工单，而是由真人协助生态中的其他角色，最大化他们从吸血鬼工具包中获得的收益。

Permit 类型的授权最能体现基础设施层在为诚实参与者提供价值的同时，是如何纵容不法分子的。常规的代币授权是无许可地允许支出方从所有者地址中提取特定数量的资金，而 permit 签名是一种具有相同功能的签名消息，但在领取奖励时才会直接提交至合约。在实践中，后者省去了一次额外的链上交易，因此在 Gas 敏感型场景中非常有用。但同样的设计也可以被滥用于绕过钓鱼域名中的安全检查，只需用一条看似无害的签名消息替代常规交易即可。

Permit2 是一项有趣的进展，因为它赋予了用户更大灵活性来执行更复杂的操作，包括像所有者一样支出代币、委托执行以及通过可信但未经核实的账户路由交易。当吸血鬼通过 permit 签名伪装成可靠合约时，那些曾对该可靠合约授予过此类权限的用户便会沦为受害者。

EIP-7702 账户委托是一项强大的功能，但它在不法分子手中造成破坏的能力已经显现。这一提议的标准在许多方面都有好处，它允许 EOA 账户在无需承担智能钱包风险配置的情况下享受其部分优势，但它所带来的攻击手段同样不容小觑。当用户将账户执行权委托给一个合约时，他们所有的交易都将开始通过该合约进行路由，并在过程中执行任意代码。类似于基于 permit 的吸血鬼，攻击者可以利用 EIP-7702 以极小的阻力转移受害者的资金，通过账户委托人将收益悄无声息地盗走。

吸血鬼对 7702 账户的侵害实际上等同于该 7702 账户的报废，除了立即将资产转移到新地址之外几乎没有补救措施。用户应将受影响的账户视为已被攻破，尽可能撤销所有权限并转走余额，然后更换新的助记词、新的设备以及一组新的允许交互的链。这些都是令人不快的事实，但另一种选择——为了追回资金而在多链之间疲于奔命——只会更糟。普通用户不应该去面对被黑客入侵后账户迁移的技术债务，也不应该去苦思其钱包升级背后的安全影响。从本质上讲，普通人不必非得成为加密专家，这也是他们将资产托付给多签合约、硬件设备和其他专业解决方案的原因。当涉及账户委托和 EIP-7702 时，同样的原则依然适用：将执行权委托给另一个合约的授权，必须被视为一项会永久扩大受攻击面的交易。

以太坊的主导地位与 TRON 基础设施

以太坊凭借其生态系统中资产、DeFi 仓位、NFT 和权限的高度集中，在高价值钱包吸血鬼领域依然占据主导地位。Scam Sniffer 的链上追踪只是安全领域聚焦以太坊的一个缩影，因为大多数行业报告都指出，在诈骗高峰期，该链上受影响的地址数量更多、损失金额更大。与此同时，TRON 的稳定币基础设施能更好地满足日常支付、交易所充值、OTC 交易以及日常汇款的需求。希望降低成本（包括以太坊上的 Gas 成本或 TRON 上的 Energy 与 Bandwidth）的用户，可以利用链上稳定币作为媒介，享受大额程序化充值带来的便利。这使得所有参与方——诚实用户、犯罪分子和正规企业——都依赖于 TRON Energy 系统及其每笔交易可预测的消耗费率。

Inferno Drainer 是“吸血鬼即服务”商业模式中最突出的典型，众多用户在多条链上沦为其钓鱼服务的受害者。Group-IB 将该行动归咎于一个已知的多链诈骗团伙，该团伙在此过程中部署了数千个欺诈域名。Scam Sniffer 的报告记录了在第一波与 Inferno 相关的诈骗中造成的超过 $80 million 损失，该团伙曾于 2023 年底宣布关停。Check Point Research 随后发现有数个正在进行的活动使用了相同的基础设施，并在 2024 年初更名为 Inferno Reloaded，且具备更强的规避追踪技术。

根据 Check Point 的研究，在其中一次为期六个月的攻击中，有超过 30,000 个钱包蒙受损失，累计损失至少达 $9 million。

正如预期的那样，诈骗中所使用的基础设施进行了针对检测与分析的加固。研究人员指出，C2（命令与控制）基础设施被混淆或隐藏在客户运营的代理服务之后，同时提现地址会定期轮换以跑赢黑名单的更新。诈骗分子还利用一次性诈骗智能合约来分发资金和逃避监控，其中一次活动被观察到在验证过程中冒充合法的 Collab.Land 项目。

Ledger Connect Kit 攻击事件完美展现了吸血鬼钓鱼波及诚实用户的方式。在其中一起事件中，一名 Ledger 员工被诱骗授权了 Ledger Connect Kit 合约，随后该合约将吸血鬼代码分发到了受影响的应用中。Ledger 的事件报告证实，受影响的工具包中存在 Angel Drainer 恶意软件，该软件在攻击者和吸血鬼服务商之间采用 85/15 的分成比例。在波及超过 $600,000 的资金后，该公司宣布将摒弃盲签，转向更为透明的签名实践。

这是展现用户如何受到钓鱼侵害的最贴切范例之一：在这种情况下，吸血鬼操盘手不需要依赖虚假域名或展示欺骗性信息。受害者交互的是合法的 Web3 界面，却在钱包正忙于处理其他操作时签署了一笔未授权的交易。用户不太可能像审查合约交互那样去仔细核查每一次签名，而骗子只需要受害者一时疏忽，就能从其地址中提走巨额资金。

2024 年由吸血鬼造成的最大单笔链上损失，为用户在与 DeFi 应用交互时所面临的挑战提供了进一步的注脚。在其中一起事件中，一位 DeFi Saver 和 Maker 金库的所有者签署了一笔欺诈性交易，将其 DSProxy 合约的控制权转移给了钓鱼地址，该地址随后试图窃取仓位并铸造 DAI。Scam Sniffer 和慢雾（SlowMist）的研究人员将此次攻击与 Inferno 吸血鬼生态系统关联起来。同样，这次攻击的受害者不大可能是被虚假网站所蒙骗，而是伪装的地址成功让用户相信该交易是合法的，最终仅凭一次签名就盗走了资产。

无需为这位用户脑补跌宕起伏的遭遇，因为区块链记录讲述着同样的故事。攻击者只是更改了一个 DeFi 仓位的代理地址，并将受害者的资金重定向至自己的地址。链本身会去判定这是否属于欺诈，但用户将很难有机会逆转这笔交易。这就是任何想要参与 DeFi 却不愿正视其领域风险的人所付出的代价。

链上损失数据在理解问题的严重程度和确定应对措施的优先级方面起着关键作用，但审视促成这些攻击的基础设施同样具有启发意义。针对“吸血鬼即服务”领域的学术和行业研究揭示了已知钱包清道夫之间的诸多共有特征，包括那些使用 permit 类型授权的清道夫。具体而言，研究人员发现了数以千计使用类似工具包归集用户资金然后再分发到已知钱包的钓鱼域名。在智能合约层面也观察到了类似的规律，许多吸血鬼服务都在使用共享的代码或基础设施。当 Tether 和 TRON 团队与 Chainalysis 联手开展 Spincaster 行动时，他们成功发掘出超过 7,000 条线索，最终帮助冻结了非法资产，多家交易所和受害用户得以追回大量资金。其中一项成功案例是通过及时干预，提示用户撤销恶意授权，从而阻止了一起六位数的损失。下例为暗处网站上常见的此类服务广告（其本身几乎也是一场骗局）：

对于钱包吸血鬼的讨论，这算是一个恰如其分的结语。这个行业将 Web3 去中心化思潮的魅力与丑陋展现得淋漓尽致。当你在区块链上操作时，你需要对保护自己的资产负全责，而一旦失去对钱包的控制，你必须清楚下一步该做什么。网络钓鱼之所以如此泛滥，或者签名频频被骗子武器化，错并不在只负责撮合用户交互的生态系统本身。然而事实也是，获得许可的交易往往缺乏上下文信息，却要求用户具备充分的技术能力来理解每一次链上操作的含义。哪怕是账户安全最基本的方面（例如定期的钱包升级或硬件助记词存储），对每个人而言都是可选的，但对极少数人来说才是现实的。同样的理念也适用于账户委托或 permit 授权：无论使用场景如何，签名都应被视为一项金融交易，其后果需要发送方仔细权衡。没有任何单一操作能杜绝所有的诈骗和利用行为，但设计更合理的界面确实能降低受害者对最终后果感到猝不及防的概率。

利益驱动、监管与最后一次点击

吸血鬼产业并非由技术创新驱动，而是由需求驱动：开发者力求最大化从欺诈活动和分销渠道中获得持续性收入，而平台则试图为自己的生态系统吸引流量和流动性。特别是钓鱼活动，其目的就是获取新的受害者并诱导他们将资金存入目标平台。项目方在推广自身服务的同时，极力淡化虚假管理员和钓鱼域名的可见度；而用户则受到代币、白名单资格、产品早期访问权等奖励的诱惑。FOMO（错失恐惧症）是加密世界中最危险的心理，它在很大程度上主导着骗子的行径，他们深知从资产上涨中牟利的最佳方式就是让人们相信自己即将错失良机。扒手、ATM 盗刷器以及其他传统诈骗犯也遵循同样的原则：他们瞄准的大多是潜在受害者最密集的繁华地段。

基于授权的钓鱼攻击通过将“说服”与“执行”剥离，直击自主保管的核心要害。在传统的银行抢劫中，受害者可能会被说服将资金转入诈骗账户，但他们心里明白钱正在离开自己的账户。然而在吸血鬼诈骗中，受害者是被诱导交出了转移资金的权限，从哲学层面上看这是一个更难以理解的概念。在实际操作中，受害者可能完全不清楚交易的来龙去脉，尤其是当该交易是作为空投或冒充正规服务的钓鱼域名的一部分而被发起时。用户只要点击一下钱包的确认按钮，就可能失去代币、NFT、代理所有权或账户访问权限，而吸血鬼团伙则能同样轻松地从中抽成。

监管可以在多个方面发挥作用，但很少能彻底杜绝被利用的机会。身份认证（KYC）程序可以遏制从受害者处卷走资金的行为，尤其是当受害者在交易所持有大量资产时；而域名查封和服务器关停可以限制潜在犯罪分子的操作空间。

同样，链上监控可以识别可疑交易，使交易所能够冻结资产或向受害者通报钓鱼企图。在稳定币领域，一旦接收账户被标记为欺诈或已被攻破，就可以限制新代币的发行，从而削弱其跨平台转移价值的能力。监管机构和私家侦探的介入（例如美国司法部近期针对 $225M USDT 的民事没收起诉），能够对作恶者形成更大的震慑，阻止他们挥霍不义之财或对其提起进一步诉讼。在实践中，稳定币黑名单、链上分析、关停交易所入口和资产冻结措施可以显著降低吸血鬼钓鱼活动的吸引力，但它们极少能彻底消灭欺诈机会。

监管打击只会促使吸血鬼及其同伙采用新的方法、工具和司法管辖区来继续其活动。特别是与钓鱼服务相关的域名经常轮换，操盘手会部署多个前端来规避检测。吸血鬼所使用的技术基础设施也是如此，控制服务器通常托管在数字隐私法宽松且缺乏监管机制的司法管辖区。即使某个吸血鬼网站被下线或并入更大的诈骗生态，操盘手也总能找到其他途径来归集用户资金并分发到他们的钱包中。在许多方面，执法部门的努力只是增加了诈骗的整体成本，而并未从根本上破坏其底层的运转逻辑。只要还有用户愿意在加密项目中投入时间和金钱，就会有人试图利用他们的热情牟利，无论手段是直接盗取钱包，还是通过钓鱼域名和虚假社交媒体账号实施操控。

钱包交互体验（UX）的改革或许是最有意义的监管形式，因为它促使用户在享受自主保管红利的同时安全地进行操作。特别是，负责任的钱包应该向用户明确告知：签名将授予接收方支配指定数量 USDT、某特定 NFT 系列所有代币或修改代理地址的完全权限。钱包应当提醒他们，账户委托可能会向另一个合约赋予无限制的权力（该合约甚至可能在另一条区块链上），而且 permit 类型的授权可能会永久有效，抑或在未来利用 EIP-7702 来延展这些权限。理想情况下，钱包应该针对每一次签名，显著标明其价值、代币标准、数量、目标地址、有效期限以及所属链，让用户能够充分权衡该交易的影响。

此外，钱包应帮助用户结合上下文理解交易，并在出现异常时及时察觉。如果合约地址对用户来说很陌生，他们应该反问自己是否有意与它交互。如果签名的金额与以往交易不符，用户应该仔细核对细节。如果该请求脱离了正常的操作情境，或者钱包界面看起来与往常不同，用户应该格外警惕。那些使用加密钱包进行更复杂金融活动（包括质押、NFT 交易和 DeFi 交互）的人群，尤其应该密切关注这些细微差别。一般而言，他们的钱包应该使用硬件、多签功能和其他机构级工具进行加固，并准备好在必要时使用备用的签名方式。

用户不应该充当打击诈骗分子战争中的孤胆英雄。他们能做的最好的事就是安全操作，默认任何需要签名的交互都可能存在欺诈。他们应该对“验证钱包”提示和空投领取保持警惕，并仔细斟酌钱包的每一项权限。尤其是索要助记词的请求必须一律拒绝，因为这纯粹就是在直接窃取资产。对于 EIP-7702 账户升级提示也应保持同样的警惕，因为它们可以在几秒钟内彻底攻破钱包。

加密安全在许多方面都像是一部银行抢劫电影，用户常被描绘成容易被骗子蒙蔽的弱势主角。但这并不是现实的准确写照，因为自主保管钱包在本质上就是现金的数字等价物——其安全性完全取决于持有者保管时的负责程度。传统银行和金融机构也频繁沦为欺诈的受害者，但这极少是因为普通用户缺乏金融常识或没有能力保护自己的资产。相反，银行之所以成为诱人的目标，恰恰是因为它们坐拥巨额资金，员工哪怕一个看似微不足道的失误都可能引来一场劫案。同样，加密钱包中的每一个签名都应被严格审核，因为它可能就是一笔普通交易与不可逆的资产损失之间的分水岭。

安全在面向用户时也有其平实朴素的一面，它体现在日常操作的细节中，而不是那些抓人眼球的重大新闻里。聪明的用户在考虑使用 Tether 进行 TRON 交易时，既会关心各种攻击面，也会同样在意其成本消耗；如果你不是去到处点那些子虚乌有的“领取按钮”，而是切切实实想着转账汇款，Netts Pricing 便是专门满足这一需求的朴实工具之一。它能让你估算在 TRON 上租用 Energy 的成本，汇总各提供商的费率，查看包含 1 小时、5 分钟 Energy 窗口在内的时效性报价及相关费用，并在某家提供商拒绝订单时提供备选方案。截至抓取快照时，在现货租借市场上单笔 USDT 转账所需的 65 thousand Energy 成本约为 1.690 TRX，且在非高峰时段还有更便宜的选项；而这些细节，才是一个诚实用户在轻信所谓的“立即领取”骗局之前真正应该去钻研的功课。