MSTR Cat

加密资产法/等级 IV · 持有者的陷阱/4.2 法律视角下的骗局/课程 3

钱包盗刷与审批诈骗

你在网站上留下的签名如何会让他人盗走你的钱包，代币标准究竟允许什么行为，以及在通过欺骗手段获得同意时法律是如何规定的。

本内容为教育性质，不构成法律、税务或投资建议。加密资产相关法律因国家和州而异，且经常变化。采取行动前，请向您所在地的合格律师或税务顾问核实现行规定。

精简路径

法律允许的最省钱、税负最低、最简单、最私密的做法，按优先顺序排列。每一步都注明所依据的规则，以及保持合法所需满足的条件。

  1. 首选防线：仔细阅读每一项签名请求，拒绝无限授权，并允许在通过消息、广告或空投链接访问的网站上进行签名；ERC-20 授权和 ERC-2612 许可在被使用、撤销或过期之前持续有效。
  2. 按照 FBI 的建议，使用区块浏览器的代币授权检查工具撤销过期的授权；每次撤销仅产生一笔网络费用，且无法挽回此前已发生的盗窃。
  3. 将大部分资产存放在一个从不连接任何网站的独立钱包中，并使用低余额钱包用于应用程序；您自己不同钱包之间的转账不属于美国应税事件，但请为每笔转账保留计税成本记录。
  4. 在资金被清空后，立即记录哈希值并免费向 ic3.gov 报案，因为到达交易所或可冻结稳定币的资金有时可以被冻结；将助记词输入某个网站意味着将所有资产转移到新钱包。

材料ERC-20 代币标准文本，关于 approve 和 transferFrom 的章节（eips.ethereum.org）ERC-2612，这是一种“许可”扩展功能，允许通过签名消息来授予授权。FBI公共服务公告I-072122-PSA（2022年7月21日）：关于流动性挖矿骗局的内容区块浏览器代币授权检查工具，用于查看您自己地址的授权情况。

好奇

  1. 如果我从未把助记词告诉过任何人，别人怎么可能清空我的钱包？
  2. 当网站要求我连接或签名时，我究竟是在同意什么？
  3. 如果是我自己点击了“批准”，在法律看来这仍然属于盗窃吗？

探索

  1. 钱包清道夫（Wallet drainer）是一种恶意网站、应用程序或智能合约，它诱使钱包所有者签署某些内容，从而使攻击者能够转移所有者的资产。与助记词被盗不同（见4.1.5课），是所有者自己的签名完成了这项工作，因此钱包会将这种盗窃视为已授权的操作。将钱包连接到某个网站通常只是共享你的公开地址；真正的危险在于随后出现的批准或签名请求。清道夫通过虚假空投、伪造的铸造页面、仿冒网站、搜索广告以及虚假的“客服”消息（见4.2.4课）出现。由于结果是普通的区块链转账，没有任何运营方可以将其撤销（见1.1.6课）。
  2. 这些机制源自代币标准。以太坊及类似链上的大多数代币都遵循 ERC-20 标准。其 approve 函数允许一个“支出者”（spender）从你的账户中多次提取，直到达到你设定的金额上限，而 transferFrom 则是该支出者随后转移代币的方式。去中心化交易所和其他应用出于正当理由使用授权，许多界面为了方便会要求设置非常大的或“无限”的金额。一项授权在用完或被更改之前一直有效。因此，授予恶意合约的授权可以在数天甚至数月后被用来取走该类型的所有代币，包括你签名后收到的代币。
  3. 两项较新的功能扩大了风险范围。ERC-2612 是以太坊的一项最终标准，它增加了一个 permit（许可）函数，通过签名消息而非链上交易来设置授权；持有该签名的人可以在截止日期前提交它。因此，一个看似显示“签名以登录”或“签名以领取”的弹窗可能就是一个 permit，既没有费用也没有交易记录来提醒你。对于 NFT，ERC-721 标准的 setApprovalForAll 允许一个“操作员”管理所有者在某个系列中的所有代币。有些清道夫完全跳过授权步骤，而是在虚假表单上索取助记词，这等于交出了整个钱包。
  4. FBI 已记录了这些模式。其2022年7月关于“流动性挖矿”骗局的警报描述了受害者被承诺每天1%到3%的固定回报，他们连接了钱包并接受了旨在模仿钱包界面的弹窗，在不知情的情况下授权骗子提取无限金额；该警报统计自2019年1月以来损失超过7000万美元。2025年6月的警报描述了 Hedera 网络上的 NFT“空投”，其备注链接指向索取助记词的网站。这两份警报都将结果视为盗窃，FBI 建议定期使用第三方代币授权检查工具。
  5. 根据美国法律，通过欺骗手段获得的许可并非真正的同意。利用互联网通过虚假陈述获取财产的行为属于18 U.S.C. §1343规定的电汇欺诈（wire fraud），最高可判处20年监禁，各州的盗窃法通常也涵盖通过欺骗手段获得的财产。能够起诉或追诉与能否追回资产是两回事，因为清道夫运营者往往匿名且身处国外。在税务方面，美国国税局首席法律顾问备忘录 202511015 将因网络钓鱼或被黑账户（用于投资目的持有）造成的损失视为可扣除的盗窃损失；该备忘录涉及的是银行和退休账户，因此其如何适用于被清空的钱包取决于具体事实。
  6. 实用检查措施：仔细阅读签名请求实际授权的内容，包括支出者的地址和金额；将任何通过消息、广告或空投到达的网站发出的请求视为可疑；并使用授权检查工具审查和撤销旧的授权。撤销本身是一笔需要支付网络费用的交易，且无法挽回已经发生的盗窃。如果你曾将助记词输入过某个网站，仅撤销授权是不够的，因为整个钱包都已暴露。在被清空后，记录交易哈希值和地址并及时举报（见4.2.7课），因为流入交易所或可冻结稳定币的资金有时可以被冻结。

关键事实

  • 在 ERC-20 标准下，approve 功能允许支出者在账户中多次提款，提取金额以批准的限制为限。
  • ERC-20的transferFrom函数允许经过授权的支出者代表所有者转移代币。
  • ERC-2612 增加了一个许可功能，该功能通过签名消息来更改代币的分配额度，而无需由代币所有者发起链上交易。
  • ERC-721 的 setApprovalForAll 函数授权操作员管理所有者在该合约中的所有 NFT。
  • FBI警报I-072122-PSA指出：自2019年1月以来，利用钱包权限的流动性挖矿骗局已造成超过7000万美元的损失。
  • 根据《美国法典》第18编第1343条，电信诈骗罪可判处最高20年监禁；若涉及金融机构，则可判处最高30年监禁。

练习 九、六、三、一

9收集列出您见过的最多9种钱包提示或请求类型，例如连接、批准（approve）、许可（permit）、为所有代币设置授权、签署消息、输入助记词或领取空投。
6归类将它们分为6类：共享地址、代币授权、签名消息、NFT操作员授权、直接转账，以及索取私钥或助记词的请求。
3提炼将这6个类别简化为3种风险等级：单独使用则无害、若网站存在恶意则具有风险，以及绝不能提供给任何网站的级别。
1凝结写一句话描述在钱包中签署任何授权请求之前，你希望了解哪些信息。

事实核查

日期、数字及数据均依据下方列出的已发表资料进行核实。

在互动学院中打开 →

EN PT ES JA KO RU DE FR MS