Trust Wallet 钓鱼攻击新动向：虚假站点 trastwallet[.]cam 的警示
近期，针对 Trust Wallet 的钓鱼攻击出现了一个新的目标地址：虚假站点 trastwallet[.]cam。该站点伪装成 Trust Wallet 官方，诱导用户连接其数字钱包。请注意，官方网站的真实地址仅为 trustwallet.com。任何未能逐字母仔细核对网址的用户，都可能会落入陷阱，访问到一个读取余额并准备将资产转移至预设地址的代码页面。
币安创始人赵长鹏（Changpeng Zhao）于 11 月 5 日公开对此发出警告，他用简洁有力的语言提醒道：“.cam 不是 .com”。
对于德国的加密货币投资者而言，这不仅仅是一个行业内的注脚。根据安全分析，该站点不仅针对 Trust Wallet 用户，还波及 Phantom 和 OKX Wallet 用户。这涵盖了以太坊（Ethereum）、BNB Chain 和 Solana 网络上使用最广泛的三种软件钱包用户。如果您使用其中任一应用，了解如何识别此类伪造站点以及在误点“连接”后该如何应对至关重要。
关于 trastwallet[.]cam 已知的信息
该站点由安全研究人员 Anurag（在 X 平台账号为 Malwarehunter）发现。据报道，他于 11 月 4 日或 5 日发现了这一威胁。他发布了截图以及站点 JavaScript 代码的摘录，随后赵长鹏向他的粉丝分享了这些发现。贸易媒体 crypto.news 对该分析进行了详细描述。
该页面标题为“审查您的钱包转账”，采用卡片式设计，并提供一个巨大的按钮用于连接钱包。页面上声称有一个自动化服务会审查您的转账情况，涉及每资产限额（1 至 5,000 美元）、网络费用和钱包授权。然而，Trust Wallet 官方并不存在此类服务。这种展示仅仅是为了向您解释为何需要连接钱包。
一个重要的背景信息是：当研究人员检查该站点时，签名功能处于关闭状态。虽然代码中包含了盗窃所需的所有组件，但在当前版本中，它无法执行已准备的交易。目前尚不清楚运营者是在进行测试，还是计划稍后启用该功能。截至目前，尚未有明确归因于此站点的被盗金额记录。
Trust Wallet 长期成为钓鱼攻击的目标
Trust Wallet 是全球使用最广泛的软件钱包之一，因此经常成为伪造网站的模板。例如，2025 年 12 月发布的 Chrome 扩展程序版本 2.68 中包含恶意代码，导致用户损失约 700 万美元，当时赵长鹏承诺进行赔偿。2026 年 10 月 28 日，Trust Wallet 自身也警告过一个与该公司无关的虚假加密卡网站。
域名欺骗：一字之差与 .cam 后缀
这种伎俩被称为“域名抢注”（Typosquatting）。即利用看似与知名地址相似、但依靠打字错误或粗心阅读就能混淆视听的域名。trastwallet[.]cam 在名称上有两处偏差：“trust”中的“u”变成了“a”，且后缀从“.com”变成了“.cam”。在小屏幕手机上，这种差异极不明显，特别是当您通过消息点击链接而根本不看地址栏时。
.cam 是一个任何人都可以注册的常规顶级域名。它在视觉上与 .com 相似，但与 Trust Wallet 毫无关系。骗子还会使用连字符（如“trust-wallet-support”）、附加词（如“-fix”或“-verify”）以及子域名等类似手段。判断的关键在于第一个单斜杠之前的部分，即注册域名及其后缀。
一种可靠的防范措施是：永远不要通过链接打开钱包网站，只应通过您自己设置的书签直接访问，或在已安装的应用程序中操作。搜索引擎广告也不是安全的路径，因为虚假钱包站点经常出现在那里。
钱包清除器：脚本如何读取余额并准备转账
从技术角度来看，该站点属于“钱包清除器”（Wallet Drainer）家族。这是一种网站程序，一旦您连接钱包，它就会读取您的余额，并要求您签署发送硬币和代币给攻击者的交易。根据分析，trastwallet[.]cam 的代码包含两个主要部分：查询余额的界面，以及与 Trust Wallet、Phantom 和 OKX Wallet 建立连接的文件。
此类站点的操作流程几乎总是相同的：
- 连接钱包：站点获取您的公共地址。
- 读取余额：扫描该地址上的硬币和代币，并按价值排序。
- 请求签名：钱包中会出现一个签名请求，通常伪装成“审查”、“确认”或“激活”。签署此请求即授权将资金转移到代码中固定的接收地址。
站点支持多种钱包并预先扫描余额，这表明运营者旨在筛选出最具价值的账户。在此过程中，连接是诱饵，而签名则是钩子。
连接钱包与签署交易是两个不同的权限
许多用户认为连接钱包本身就是危险步骤，但这仅部分正确。仅通过连接，您只是向站点暴露了公共地址，这是任何人通过区块链浏览器都能查到的信息。站点无法移动任何资金。这虽然令人不悦（因为运营者现在知道哪个地址值得 targeting），但尚未造成实际损失。
真正的危险来自于签名。签名是使用私钥对交易或消息的数字授权。在以太坊和 BNB Chain 上，这可能是一个代币授权（Token Approval），允许第三方智能合约从您的钱包中转移代币。在 Solana 上，多个转账可以打包成一个交易。自以太坊 Pectra 升级以来，还存在 EIP-7702 下的委托变体，暂时将您的地址绑定到第三方代码。
黄金法则：在确认之前，请仔细阅读每一个签名请求。如果您的钱包显示转账、无限额授权或未知合同的警告，而您原本只想“审查”某些内容，请立即取消。声称仅审查转账的站点不需要您的签名。
助记词和私钥：真正的钱包站点绝不会索取
另一种常见的钱包钓鱼方式无需签名。伪造站点要求您“手动”连接或“恢复”钱包，并显示输入框以获取助记词或私钥。助记词（又称恢复短语）是一组 12 或 24 个单词，从中可以衍生出钱包的所有密钥。知晓助记词的人即拥有您的资产，无论他们在何种设备上输入。
Trust Wallet 官方强调，无论是通过应用程序还是电子邮件，公司永远不会询问您的恢复短语。Phantom、OKX Wallet 及其他信誉良好的自托管钱包提供商也是如此。“自托管”意味着只有您持有密钥，没有公司为您存储它们。正因为如此，没有任何支持人员可以替换丢失的短语或撤销转账。
如何通过行为特征识别伪造站点
- 站点制造时间压力，例如声称存在安全漏洞、锁定或截止日期。
- 站点要求对无需签名的操作（如“审查”或“同步”）进行签名。
- 站点提供输入助记词、私钥或密钥库文件的字段。
- 您是经由消息、广告或社交媒体帖子到达该站点，而非通过自己的书签。
检查浏览器地址栏：连接前即可识破骗局
地址栏是您最重要的工具。在手机屏幕上，轻触地址栏以显示完整地址，并从右向左阅读：首先看后缀，再看前面的名称。对于 Trust Wallet，必须是 trustwallet.com，中间无连字符，无附加词，也无其他后缀。锁形图标并不能证明安全性，因为诈骗网站也可以拥有有效的加密证书。
德国联邦信息安全局（BSI）在其《识别网络钓鱼指南》中规定了适用于加密货币的基本规则：怀疑消息中的链接，自行输入地址，切勿在您未主动打开的页面上输入登录详情。与银行账户不同，区块链上确认的交易是不可逆的。
简单的隔离措施也有帮助：使用余额较小的独立钱包来尝试新站点和应用，并将大额资产分开存放，最好使用硬件钱包。硬件钱包是一种小型设备，离线存储私钥，并在您确认之前在自有屏幕上显示每一笔交易。虽然仍需阅读签署内容，但密钥永远不会离开设备。
所谓 iOS 漏洞：110 万美元被盗的说法未经证实
在赵长鹏发出警告的同一天，X 平台账号 Emperor.SOL 声称，一名未知攻击者通过 iOS 18.5 中的漏洞从 Trust Wallet 用户处窃取了约 110 万美元，并提取了其设备的助记词。该帖子展示了向币安存款地址转账 USDT 的截图。据称，Trust Wallet 支持团队建议立即更新 iOS。
然而，这一说法缺乏证据支持。截图并未显示转账与 iPhone 缺陷之间的关系，贸易报告也将此声明列为未经证实。据知，这与虚假的 .cam 站点无关。尽管如此，保持操作系统更新始终是明智之举：更新能修补安全漏洞，而旧版 iOS 确实曾遭到针对加密应用的攻击。不再接收更新的手机上的钱包不适合存放大额资产。
撤销代币授权：意外签名后，时间至关重要
如果您已在可疑站点签署了交易，请立即行动：
- 转移余额：将剩余余额移至一个新的、干净的钱包，确保其助记词从未接触过可疑站点。如果您输入了助记词本身，旧钱包即永久丢失：从此以后，必须将该短语衍生的每个地址视为已 compromised（受损），即使其中仍有资金。
- 撤销授权：如果您仅授予了代币授权，可以在以太坊及兼容网络上使用 Revoke.cash 或区块链浏览器的授权部分来查看并撤销对特定合约的访问权限。这需要支付少量网络费用，且仅对未来生效。撤销无法追回已被转走的代币。
重要提示：此类工具也应通过手动输入的地址访问，因为骗子也会伪造撤销网站。
德国境内的报案流程：警方、消费者咨询中心和 BSI
如果遭受损失，您应向警方报案。德国各州均设有在线警察局，您可提交欺诈或计算机欺诈的刑事控告。请准备好钓鱼站点地址、交易 ID、受影响的钱包地址及接收方地址。交易 ID 可在钱包或区块链浏览器中找到。站点的截图以及引导您到达那里的消息截图也能协助调查。
您还可以向消费者咨询中心的 Phishing-Radar 举报虚假站点和邮件。如果被盗资金被转发至某个交易所，向其安全团队举报（附上交易 ID）可能有效：中心化交易所或许能冻结 incoming funds（入金）。持有 MiCA 许可的加密货币交易所拥有固定的举报渠道和欧盟联系人。交易所是否持有此类许可可在欧洲证券和市场管理局（ESMA）的公共登记册中查询。
警惕二次诈骗：损失发生后不久，所谓的“资金追回服务”可能会联系您，承诺在预付费用后追回硬币。这几乎总是第二轮诈骗。真正的调查人员和律师不会索要您的助记词，也不会要求以加密货币形式付款。
防范虚假钱包站点的三个习惯
trastwallet[.]cam 站点并非孤例，而是随着新域名不断重复的模式。固定的习惯比专业工具更能有效防范诈骗：
- 以验证过的应用为起点：仅从官方应用商店或制造商网站下载钱包，并从应用内部打开相关应用程序。
- 大额资产离线存储：日常不需要的资产应存放在密钥不与网站接触的硬件设备上。
- 使用受监管的提供商进行交易：在欧洲联盟持牌的交易所进行交易，并仅提取您希望自行持有的资产至钱包。
（截至 2026 年 11 月 6 日。本文不构成投资建议。价格和费用结构会发生变化；购买前请与提供商核实条款。）
