假客服詐騙：冒充者如何誘騙 Tron 用戶交出錢包

一波釣魚訊息大量發送，聲稱來自 CoinsDo 的 CoinWallet 團隊。品牌樣式相近、語氣正確，而故事平淡無奇：你有一筆款項待處理、你的錢包需要驗證。其中一個活動告訴收件人有一筆待處理交易需要驗證，引導他們付款以解除；另一些則指向竊取錢包憑證的克隆網站。

這場攻擊完全沒有碰到智慧合約。沒有簽署授權、沒有破解金鑰、也沒有網站被入侵。假客服正是刻意如此運作。這場攻擊是一場對話，而對話是錢包唯一無法防禦的面。

自我託管沒有客服中心，這正是假客服填補的缺口

直覺會把這歸咎於使用者教育失敗。但它更接近一項產品缺口。

如果你的銀行卡被停用，卡背面有一支電話。如果你的錢包出了問題，有的是 Telegram 群組、Discord 和 Reddit 版，而其中沒有任何一個人有權動你的資金。自我託管刻意移除了中間人，也連帶移除了客服。

所以當用戶公開發問某筆卡住的 TRX 轉帳、或某筆遲遲未到的充值時，等於開出了一個職缺。一小時內就會有人補上。詐騙者利用的不是愚蠢，而是在回答一個沒有別人會回答的客服請求——這也正是這套手法對老手同樣有效的原因。

假客服的對話聽起來是什麼樣子

節奏比內容更重要，而它通常分三段進行。

開場是專業。正確的術語、冷靜的措辭、可信的檔案，並且精準提及你發文的具體問題。他們常常會先幫你解決一個小問題，或準確地講解某件事，因為第一輪交流的目的只有一個：讓你相信你正在跟一個比你懂的人說話。

接著劇情轉折。你的錢包被標記了。有一項合規檢查待處理。某筆交易卡在中間狀態，超過期限就會失敗。細節是捏造的，但形狀對任何跟真正的金融機構打過交道的人都很熟悉——這正是重點。

然後是請求，而且永遠被包裝成程序，而不是請求。確認你的助記詞以便我們恢復存取。填寫這份驗證表單。簽署這筆交易，好讓我們對錢包進行安全稽核。支付一小筆驗證費，我們就會釋放待處理款項。

你會注意到，這個請求永遠不會聽起來像偷竊。它聽起來像行政流程。

正當團隊絕不會提出的三種請求

任何正規的客服流程，無論在哪個平台、基於任何理由，都不會包含以下任何一項。

你的助記詞或私鑰，任何形式都算，包括截圖、部分字詞，或一張一次收集幾個字的「恢復表單」。持有它的人就完全擁有這個錢包，而這正是助記詞的用途。

為了釋放、驗證或解凍你自己的資金而付款。真正的手續費從交易中扣除，絕不會由聊天視窗裡的某個人預先收取。

在一筆不是你發起的交易上簽名。「簽這個讓我們檢查你的錢包」是在要求你授權某件事，而它唯一能授權的就是轉帳或代幣授權。

在做上述任何判斷之前，一個問題就能解決整個類別：是你主動聯絡他們，還是他們主動聯絡你？官方版主與客服團隊不會主動開啟私訊。如果對話始於一則陌生訊息，那就已經結束了——無論後來進行得多順利。

反向版本：他們把錢包交給你

還有一種 Tron 專屬的變體把騙局倒過來玩，專門捕捉那些絕不會分享助記詞的人——因為他們以為佔便宜的是自己。

攻擊者會在 Telegram 與 WhatsApp 群組公開張貼可用的助記詞，包裝成外洩或一時疏忽。錢包是真的，而且看得到裡面的 USDT。匯入之後，你可以看到餘額就在那裡，卻無法動用，因為帳戶的 TRX 不足以支付手續費。於是你轉入一點 TRX，而那筆 TRX 立刻消失。

SafePal 曾記錄過這個機制：錢包的擁有者權限在助記詞公開之前就已改派他人，簽章門檻也提高到二。如今任何對外轉帳都需要攻擊者的簽章加上你的。受害者會看到 SIGERROR，或「該位址的私鑰不在你的錢包中」的訊息。資金進得去、出不來，完全照設計運作。

別人交給你的錢包，從來就不是你的。

如果你已經分享了什麼，撤銷授權救不了你

Tron 的標準建議是撤銷代幣授權。但面對這種詐騙，那個建議是錯的，照做只會浪費掉最寶貴的幾分鐘。

如果你洩漏的是助記詞或私鑰，錢包已從根部淪陷。從該助記詞衍生出的每一個位址現在都屬於攻擊者，撤銷授權無濟於事。在你能信任的裝置上建立新錢包，然後按價值由高到低的順序把資金移出——因為你正在和盯著同一份餘額的人賽跑。舊助記詞不要再拿來做任何事。

撤銷授權只適用於你簽的是交易、而不是洩漏資訊的情況。那種情況下，等錢包安全之後、而不是之前，再上 TronScan 檢查你的授權。

然後向平台檢舉該帳號，並在你原本使用的社群頻道公布細節。這不是形式主義——下一個目標通常正在讀同一個討論串。

一條規則，沒有例外

這裡沒有可修補的漏洞，也沒有能關上它的錢包設定。攻擊完全透過聊天視窗進行，所以防線必須是關於聊天視窗的規則，而不是關於錢包的規則。

我的規則只有一行，而且從來不需要例外：任何主動聯絡我的人，都得不到關於我錢包的任何答案。這頁的其他內容都只是細節。