詐騙識別
錢包突然出現陌生空投代幣，為什麼不要急著領取或轉出
錢包突然出現代幣或 NFT，不代表你真的獲得有價值空投。先核對合約與官方公告，不要為了出售或移除而連接陌生網站。
錢包突然出現你沒買過的代幣或 NFT，不必然表示錢包已被破解。公開鏈上的地址可以被任何人發送資產，合約也能製造看似正常的餘額或 Transfer Event。真正的陷阱常在你為了出售、領取或清除它，而打開陌生網站、給出授權或簽署不明交易時才發生。
名稱、符號與美元價值都能誤導
ERC-20 建立者可以自行設定名稱與 Symbol。ethereum.org 的詐騙代幣指南指出，假代幣能使用與真代幣相同或相似的名稱，但不能使用同一個 Contract Address。因此辨認資產時應從專案官方網站取得合約地址，再核對鏈、完整地址與必要的 checksum，而不是只看 logo 或 ticker。
合約也能控制它在自身 storage 中呈現的餘額與事件。某個知名地址顯示持有該代幣、Explorer 有許多 transfers，不能單獨證明合法。錢包顯示的高美元價格還可能來自極低流動性或被操控的價格來源，並不代表你能真的賣出。
不要使用代幣描述中的連結
詐騙代幣或 NFT 名稱可能直接放入 URL、電話或「前往領取」文字。不要點擊、掃描或手動輸入。若想確認是否有真實活動，從先前已核實的專案官網、文件與公告紀錄獨立查找，不能把 Token Metadata 當官方入口。
倒數計時、Gas 退款、稅款解鎖或資格驗證都是常見催促方式。即使活動真由官方發布，Smart Contract 仍可能有技術風險；「官方空投」不等於可以不讀簽名內容。
失敗交易陷阱
部分惡意合約故意讓代幣無法轉出。使用者嘗試 Send 或 Swap 時交易失敗，接著搜尋解法，進入詐騙者準備的「修復」網站。網站可能要求連接錢包、Unlimited Approval、特殊擴充或助記詞。交易失敗不表示錢包需要驗證或同步。
錢包的 Hide Token 功能通常只改變本機顯示，不會發出鏈上交易。若有此功能，可直接隱藏。不要套用「把垃圾幣轉到 Burn Address 就能清乾淨」的通則，因為與未知合約互動本身可能觸發風險或引導到惡意介面。
授權與簽名才是關鍵風險
空投頁可能先要求 harmless connect，再要求 Token Approval、NFT setApprovalForAll、Permit 或無法閱讀的訊息。錢包模擬顯示綠色也不是絕對保證。若看不懂是哪條鏈、哪個合約、哪種資產、Allowance 上限、到期時間與實際 Value，就拒絕簽署。
原生幣不使用 ERC-20 Approval，但惡意交易可以直接附帶 Value。畫面寫「只付 Gas」不代表沒有資產影響。硬體錢包出現 Blind Signing 或無法解碼警告時，不要為了領取未知資產而繞過。
只讀調查步驟
- 不與資產互動，先從錢包複製 Contract Address 到可信 Explorer。
- 確認正確網路；相同地址在不同 EVM 鏈可能是不同合約。
- 到聲稱的專案官方網域查看合約與空投公告。
- 比較完整 Contract Address，而不是代幣名稱。
- 把合約驗證、持有人分布、流動性與社群警告當背景資訊，不能把任何單項視為保證。
- 寫下 Claim 會要求的交易、授權與金額影響。
- 無法獨立證實時，直接隱藏並保持不互動。
如果錢包自動顯示陌生代幣，不必為了「保護其他資產」立即處理它。單純看到 spam balance 通常不會讓其他資產自動離開；危險在於後續連接、簽名、下載或交出秘密。
已連接或授權後怎麼辦
Disconnect Website 不會撤銷已存在的鏈上 Token Approval。使用可信 Approval Checker 或區塊瀏覽器的官方工具，逐條檢查 Allowance，撤銷不再需要或不認識的授權。Revoke 本身要付 Gas，也要確認鏈與合約正確。
若已發生陌生交易，保存 Transaction Hash、網站 URL、簽署內容與受影響資產。即使沒有交出助記詞，Unlimited Approval 也可能讓合約持續轉走代幣。是否遷移剩餘資產，要依授權、簽名與裝置是否失陷共同判斷。
若已在網站輸入助記詞或私鑰，錢包應視為全面失陷。單純 Revoke 不足以修復，應在乾淨裝置建立全新助記詞與地址，安排資產遷移。不要相信私訊中的 Recovery Bot 或先收費調查員。
稅務與舉報邊界
垃圾代幣顯示的價格不一定能成交，不能直接把畫面金額當真實收入；也不要自行假設毫無稅務影響。依所在地規則向合格稅務人士確認。可以向 Explorer、錢包供應商與相關平台回報合約或惡意 URL，但公開報告不要放助記詞或個人識別資料。
看到以下訊號就不要碰
- 從未登記卻收到高額獎勵。
- Token/NFT 名稱中直接放 URL、電話或客服帳號。
- Claim 要求助記詞、私鑰或 wallet validation。
- 出售必須使用陌生網站、Custom RPC 或特殊擴充。
- 要求 Unlimited Approval 或無法解讀的簽名。
- 領取前先支付稅、解鎖費或保證金。
- 社群私訊主動提出 wallet cleaning 或資產追回。
意外資產的安全預設是：不互動、從獨立官方來源核對合約，無法證實就只在介面隱藏。