錢包盜取程式(Wallet drainer)
簡單來說 Wallet drainer 是惡意程式碼,通常藏在假網站後面,誘騙你簽署交易或授權,進而清空你的錢包。
Wallet drainer 是一種詐騙工具包,靠讓受害者簽署某些內容來竊取加密資產。它並不會破解錢包的加密,也不會猜測你的助記詞,而是呈現一個看似平常的請求,例如連接錢包以領取空投或鑄造 NFT,而你批准的簽名卻把資產的控制權交給了攻擊者。
多數 drainer 運行在仿冒或假冒的網站上,並透過被駭的社群帳號、假空投公告、贊助搜尋結果或私訊來推廣。當你連接錢包後,腳本會讀取你的餘額,並要求取得能拿到的最高價值權限。在 EVM 鏈上,這通常是無限額度的代幣授權、無需鏈上授權步驟就能批准轉帳的 Permit 或 Permit2 簽名,或是 NFT 的 setApprovalForAll。在 Solana 上,通常是一筆轉移代幣或變更帳戶所有權的交易。許多 drainer 以服務形式出售,開發者會從每次竊取中抽成。
對於活躍於小型代幣的人來說,這是最常見的資金損失原因之一。簽名只要幾秒鐘,攻擊者的錢包幾乎立刻就會掃空資產,而鏈上轉帳無法撤回。今天授予的權限也可能日後才被使用,所以損失不一定發生在你簽名的那一刻。
對每一個來自私訊、留言回覆或突如其來公告的連結都要保持懷疑,並透過書籤進入網站。仔細閱讀錢包顯示你要簽署的內容;如果是授權,或是你看不懂的簽名,就直接拒絕。使用另一個餘額很少的錢包來接觸新網站,並定期用代幣授權檢查工具檢視及撤銷舊的授權。