免责声明：内容不构成买卖依据，投资有风险，入市需谨慎！

DeFi钱包解析：签名钓鱼攻击在2025年导致用户损失8385万美元

2026-11-13 14:28:23

什么是 DeFi 钱包？

去中心化金融（DeFi）钱包是一种由用户自行保管私钥的加密货币钱包，通过它可以直接连接至区块链上的应用程序：例如去中心化交易所（如 Uniswap）、借贷协议或质押服务。在这种模式下，不存在服务提供商账户、银行或密码重置功能。谁掌握了助记词中的十二或二十四个单词，谁就拥有这些资产。这正是 DeFi 钱包成为进入去中心化金融门户的原因，同时也使其成为诈骗分子最常用的攻击入口。

这一领域的风险不仅限于技术层面：任何在 DeFi 钱包中持有以太坊、稳定币或其他代币的用户，每一次签名确认都决定了谁能访问其资金。一旦被盗，资产无法追回。安全机构 Scam Sniffer 发布的年度报告展示了这种危险性：2025年，通过签名钓鱼和所谓的“钱包清道夫”手段，用户损失了约 8,385 万美元，涉及受害者 106,106 人。虽然比 2024 年的 4.94 亿美元下降了 83%，但平均每起案件的损失仍超过 790 美元。

本指南将解释 DeFi 钱包的工作原理、存在的类型、连接去中心化应用时实际发生的情况，以及适用于自我托管和转账的欧盟法规。重点在于大多数资产损失发生的时刻：确认签名或代币授权。

DeFi 钱包的核心：自我托管与私钥

DeFi 代表去中心化金融，意味着在区块链上以智能合约形式运行的金融服务。智能合约是在有人发送匹配交易时自动执行规则的程序。要使用此类程序，你需要一个能够签署交易的地址。该签名由私钥生成，私钥是一个长数字，由此衍生出你的公钥地址。

DeFi 钱包是管理此密钥、显示交易并在你确认后签署它们软件。技术术语称为“自我托管”：除了你之外，无人能触发转账，除了你之外，无人能替换丢失的助记词。知名示例包括用于以太坊及兼容网络的 MetaMask、用于 Solana 的 Phantom，以及同时支持多个网络的 Trust Wallet。

理解这一点至关重要：硬币并不真正存储在“钱包”里。余额记录在你地址对应的区块链上。钱包仅仅是授予访问权限的钥匙串。这就是为什么只要输入恢复助记词，你就可以在另一个钱包应用中恢复相同的地址。因此，助记词应写在纸上或金属板上，存放在安全的地方，绝不能拍照、存入云端或聊天窗口。

DeFi 钱包 vs. 交易所钱包：谁持有密钥，谁控制访问权

在 Coinbase、Kraken 或 Bitpanda 等加密货币交易所，你拥有一个客户账户。交易所持有密钥，执行你的订单，并在其许可证范围内承担责任。在欧盟，自《加密资产市场法规》（MiCA）过渡期结束后，此类提供商已获得加密资产服务提供商的授权。忘记密码可以重置，支持团队会检查可疑提现，可疑活动报告可以阻止转账。

DeFi 钱包不具备上述功能。作为交换，你可以访问交易所不提供的应用程序：仅在去中心化交易所交易的代币、流动性池、链上贷款或 DAO 投票。因此，权衡在于便利性/保护与自由/个人责任之间。许多投资者同时使用两者：在受监管的交易所购买以太坊，当需要使用特定应用时，将其部分转入自己的 DeFi 钱包。

一个常被忽视的区别在于责任归属。如果黑客入侵了交易所，交易所有义务对其客户负责。如果你在 DeFi 钱包中签署了欺诈性授权，从区块链的角度看，这是一笔有效交易。没有任何权威机构可以撤销它。

浏览器扩展、App 或硬件钱包：DeFi 钱包的三种类型

浏览器扩展

最常见的形式是 Chrome、Brave 或 Firefox 的扩展程序。当网站请求连接或签名时，窗口弹出。这在电脑上交易很方便，但密钥加密存储在联网设备上。因此，此类钱包被视为“热钱包”。如果计算机感染恶意软件，最坏情况下它可能读取输入或显示虚假窗口。

移动应用

Trust Wallet 或 MetaMask 移动版等应用包含去中心化应用的内置浏览器。或者，你可以通过 WalletConnect 将应用连接到电脑上的网站。得益于沙盒技术和设备锁定，智能手机通常比满是扩展程序的桌面浏览器更安全，但它仍然是联网设备。

硬件钱包作为签名设备

硬件钱包是一种小型设备，私钥永远不会离开该设备。你可以将其与 MetaMask 等 DeFi 钱包配对：软件显示余额和应用，但实际签名只有在按下设备上的按钮后才会创建。这能有效防止计算机恶意软件。对于你自己确认的授权，只有当显示屏清晰显示交易内容且你在按下按钮前阅读时，它才提供保护。

通过 WalletConnect 或扩展连接钱包：允许什么，不允许什么

当你在去中心化应用上点击“连接钱包”时，起初没什么大事发生。网站获取你的公钥地址并查看你的余额，这些信息在区块链上任何人可见。但这还不能让网站转移资金。WalletConnect 是一个开放协议，通过二维码将网站与你的钱包应用配对，而密钥不会离开你的手机。

风险出现在下一步：应用发送请求，你的钱包显示窗口要求你签署或确认某事。只有该确认才具有效力。你可以在钱包设置中随时断开连接。但这仅移除该站点对你地址的可见性，而不是你已授予智能合约的权利。

因此，常见伎俩是伪造网站：Uniswap、Lido 或空投门户的副本，通过搜索引擎广告或社交媒体链接到达。连接看起来无害，但下一次确认并非如此。每次连接前请阅读地址栏，并将你经常使用的应用加入书签。

签名与交易：两种权重截然不同的确认

DeFi 钱包知道两种类型的确认。交易被发送到区块链，支付费用并立即改变状态（通过转移代币、执行兑换或授予授权）。相比之下，签名是对消息的数字签名。它不花钱，不立即发送，因此看起来无害。

许多签名是无害的，例如使用“Sign-In with Ethereum”登录应用。然而，其他签名包含完整的权限，第三方随后可以在区块链上自行使用。这包括符合 EIP-2612 标准的 Permit 签名和相关联的 Permit2 方法。在法律意义上，此类签名相当于一份签名的授权委托书，只要未过期，接收方可以随时兑现。

因此，一个好的 DeFi 钱包会在每次签名前向你展示正在请求的类型。如果显示“Permit”、“Spending Cap”或“Approve”，并伴有你不认识的代币和目标地址，这意味着涉及访问你的余额。如果仅显示可读的登录文本且无金额，通常不具危险性。

代币授权：为何断开连接后无限额度仍在运行

在智能合约可能移动你的代币之前（例如将 USDC 兑换为以太坊），你必须授予其授权。在技术术语中，这称为 Allowance 或 Approval：特定合约可以从你的地址扣除的金额。许多应用程序默认请求无限额度，以便你在下次兑换时不必支付第二笔费用。

ethereum.org 的开发人员在他们的撤销代币访问指南中清楚地描述了风险：一旦授予，权限没有到期日，即使你早已停止使用该应用并断开了钱包连接，它仍然有效。如果合约后来被黑客攻击或从一开始就是恶意的，它可以清空已授权的代币。撤销本身需要支付少量交易费，根据指南，这不会使任何资金处于风险之中。

这导致一个简单的习惯：在钱包允许的情况下，仅授权当前兑换所需的金额。MetaMask 为此显示了“Spending Cap”字段，你可以在其中输入实际金额而非建议的最大值。你可以使用 Revoke.cash 或 Etherscan 的代币授权检查器等工具检查旧授权，这些工具按网络列出你地址的所有未结清的授权。

Permit 签名和 EIP-7702：2025 年 8,385 万美元损失的幕后机制

根据 Scam Sniffer 的年度报告，Permit 签名是 2025 年签名盗窃的主要形式。在上述超过 100 万美元的大案中，38% 的损失归因于 Permit 和 Permit2。今年最大的单笔案件发生在 9 月，一名受害者损失约 650 万美元，由单次 Permit 签名触发。在损失超过 100 万美元的案件中，各有三起因 Permit 签名和经典批准权限所致。

一种新的攻击途径是通过 EIP-7702 出现的。此扩展随以太坊 2025 年 5 月的 Pectra 升级而来，允许普通地址临时使用智能合约的代码（例如捆绑多项交易）。如果你签署此类对恶意合约的委托，它可能会接管你的地址。Scam Sniffer 统计了 2025 年 8 月的两起案件，总损失为 254 万美元。

这对以太坊持有者很重要，因为几乎所有这些方案都在以太坊及兼容网络上运行。许多用户忽视的一个功能有助于安全：现代钱包在确认前模拟交易，并显示哪些代币将从你的账户转出。如果此预览为空或不清楚，或者钱包警告已知诈骗地址，请取消操作。

Gas 费用和网络：每条区块链都需要自己的燃料

DeFi 钱包中的每笔交易都需要支付网络费用，即 Gas 费。在以太坊上，你用以太币支付；在 Solana 上，你用 SOL 支付。如果你缺少正确的币种，你的余额将被冻结，即使地址中有足够的稳定币。这是初学者最常见的错误之一：将 USDC 发送到 Layer-2 网络（如 Arbitrum），然后发现该网络上恰好缺少以太币以进行下一步操作。

存款时选择正确的网络同样重要。以太坊地址在 Arbitrum 或 Base 上看起来相同。如果通过错误的网络将代币发送到不支持该网络的交易所，在最坏情况下，代币将丢失。DeFi 钱包通常在窗口顶部显示活动网络。带有操纵数据接口地址的伪造网络条目是另一种攻击途径，因此请仅通过知名目录或项目的官方网站添加新网络。

DeFi 钱包与欧盟法规：MiCA、资金转移法规和 1,000 欧元门槛

使用 DeFi 钱包不需要许可证，纯自我托管软件的制作商也不受 MiCA 监管许可要求的约束。任何代替他人持有密钥的人（如交易所或托管人）需要许可证；MiCA 规则规定了这些提供商的义务。

监管在界面处变得明显。欧盟针对加密资产的《资金转移法规》（Regulation (EU) 2023/1113）已于 2024 年 12 月 30 日生效。如果你从交易所转移到自有托管地址，提供商必须收集发送方和接收方的信息。对于超过 1,000 欧元的金额，根据第 14(5) 条，它还必须确定该地址是否属于你或由你控制。在实践中，交易所要求进行小额测试转账、来自钱包的签名消息或截图作为证明。在向 DeFi 钱包发送较大金额之前，请计划好这一步骤。

反向存款时也适用同样的规则：如果资金从 DeFi 钱包返回交易所，提供商可以询问地址的来源和所有权。因此，保持你的交易所账户与自有地址之间的可追溯性。根据你的居住地，代币兑换也可能产生税务后果，因此从一开始就完整记录你的交易。

DeFi 钱包：如果没有未结清的授权，清道夫将一无所获

DeFi 钱包不是设置一次就忘记的产品。它是一个依赖你习惯的工具：实验和储蓄使用不同的地址，限制授权，审视每一个签名，并定期清理旧的授权。以下三个比较有助于下一步行动：

将密钥离线存放：将你的 DeFi 钱包与签名设备配对。
从持牌提供商开始：在拥有 MiCA 授权的交易所购买以太坊或稳定币，仅将你实际上在 DeFi 中使用的部分转移出来。
从第一天起保留税务记录：在数百次兑换堆积之前，将你的钱包地址导入税务工具。

（截至 2026 年 11 月 13 日。本文不构成投资建议。价格和费用结构会发生变化；购买前请与提供商核实条款。）

免责声明：

本网站、超链接、相关应用程序、论坛、博客等媒体账户以及其他平台和用户发布的所有内容均来源于第三方平台及平台用户。百亿财经对于网站及其内容不作任何类型的保证，网站所有区块链相关数据以及其他内容资料仅供用户学习及研究之用，不构成任何投资、法律等其他领域的建议和依据。百亿财经用户以及其他第三方平台在本网站发布的任何内容均由其个人负责，与百亿财经无关。百亿财经不对任何因使用本网站信息而导致的任何损失负责。您需谨慎使用相关数据及内容，并自行承担所带来的一切风险。强烈建议您独自对内容进行研究、审查、分析和验证。

展开阅读全文

30.00% 70.00%

利好

利空