加密钱包安全事件追踪
截至 2026-10-25，我们共追踪到自 2018 年以来影响主流自托管钱包及其用户的 60 起安全事件，其中包括 20 起黑客攻击、漏洞利用或已披露漏洞，以及 5 起供应链攻击。用户的大部分损失源于网络钓鱼、盗币程序（drainer）和假冒应用，而非钱包密码学被攻破。
要点速览
- 影响最大的钱包相关事件有哪些？
- Safe{Wallet} (Bybit) (2025-02, ~$1.5B); Profanity 靓号地址（Wintermute） (2022-09, ~$160M); Coldcard (Coinkite) (2026-07, ~$116M); Atomic Wallet (2023-06, >$100M)
- 最新的事件是什么？
- 2026-10-09: 通过 CryptoBilis（一家被 Ledger 列为授权经销商的东南亚零售商）售出的 Ledger 设备内藏隐蔽植入装置，可在设置过程中读取 24 个单词的助记词，并通过蜂窝（LTE）模块外传；Ledger 在 10 月 10 日发布的声明中确认了该植入装置。CryptoBilis 暂停销售，Ledger 要求其所售设备的用户将资金转移到使用新助记词的新设备上，并于 10 月 13 日要求七个亚洲市场的经销商下架库存。MediaMarktSaturn 也暂停了 Ledger 产品的销售。Ledger 的文档称，Genuine Check 只验证安全元件，无法检测物理改装。
- 最主要的教训是什么？
- 大多数损失都发生在钱包密码学之外：钓鱼网站、假冒应用、恶意授权以及遭入侵的供应链。请核实下载来源，切勿在任何网站上输入助记词，并在签名前确认所签内容。
时间线
| 日期 | 钱包 | 类型 | 报道的损失 | 事件经过 | 来源 |
|---|---|---|---|---|---|
| 2026-10-09 | Ledger | 供应链攻击 | ~$86M–$93M | 通过 CryptoBilis（一家被 Ledger 列为授权经销商的东南亚零售商）售出的 Ledger 设备内藏隐蔽植入装置，可在设置过程中读取 24 个单词的助记词，并通过蜂窝（LTE）模块外传；Ledger 在 10 月 10 日发布的声明中确认了该植入装置。CryptoBilis 暂停销售，Ledger 要求其所售设备的用户将资金转移到使用新助记词的新设备上，并于 10 月 13 日要求七个亚洲市场的经销商下架库存。MediaMarktSaturn 也暂停了 Ledger 产品的销售。Ledger 的文档称，Genuine Check 只验证安全元件，无法检测物理改装。 | cryptoslate.com |
| 2026-10-01 | MetaMask | 其他 | — | MetaMask 披露了一起影响其部分基础设施的“持续中的安全事件”，并作为预防措施开始让其非托管质押服务中的验证者退出（包括其在 Lido 中的验证者，预计于 10 月 7 日前完成退出）。MetaMask 表示未发现钱包或客户资金受到影响的证据，也未披露事件原因。 | thehackernews.com |
| 2026-09-09 | Trezor | 网络钓鱼 | — | 攻击者入侵了 Trezor 的电子邮件营销服务商 Brevo，并以 [email protected] 的名义发送钓鱼邮件，谎称存在 STM32“微控制器漏洞”，引导用户进入窃取助记词的页面。Trezor 在约 20 分钟内关闭了相关域名，暂停了其 Brevo 账户，并表示 Trezor 的其他系统均未受影响。 | bleepingcomputer.com |
| 2026-08-16 | SafePal | 数据泄露 | — | 攻击者利用 SafePal 网店中一款订单追踪插件的授权缺陷，窃取了 2025 年 3 月至 2026 年 4 月期间订单的姓名、电子邮箱、电话号码、收货地址和订单详情；助记词和密钥未遭泄露。SafePal 修复了该缺陷，聘请了外部安全公司，并关闭了 30 多个钓鱼网站。 | bleepingcomputer.com |
| 2026-08-11 | Rabby Wallet（浏览器扩展） | 漏洞 | — | 研究员 V12 报告了 Rabby 扩展中的一个“静默签名提取”漏洞：当自动锁定计时器设为 10 分钟时，用户已连接的恶意网站可在不弹出提示的情况下获取签名。Rabby 于 2026 年 8 月 11 日发布修复，表示移动应用不受影响，且未发现已知的漏洞利用。 | techflowpost.com |
| 2026-08-10 | Trezor | 数据泄露 | — | Trezor 的物流服务商 ShipMonk 因 Metabase 漏洞遭入侵，2026 年 5 月 10 日至 8 月 8 日期间订单的姓名、电子邮箱、电话号码和收货地址遭泄露。9 月 7 日，Trezor 表示，由于 ShipMonk 未删除旧数据，2019 年 11 月至 2021 年 8 月期间下单的 67,000 名美国客户的数据也遭泄露。Trezor 表示其自身系统和设备未被入侵，并提醒用户警惕后续钓鱼攻击。 | bleepingcomputer.com |
| 2026-07-30 | Coldcard (Coinkite) | 漏洞 | ~$116M | 一个可追溯至 Coldcard 固件 4.0.1（2021 年 3 月）的构建配置错误，导致受影响的 Mk2/Mk3 设备（以及程度较轻的 Mk4、Mk5 和 Q 固件）上的助记词来自弱软件随机数生成器（RNG），而非硬件熵源，因此可被暴力破解；盗窃事件始于 2026 年 7 月 30 日。Coinkite 于 7 月 31 日发布修复固件（Mk3 4.2.0、Mk4/Mk5 5.6.0、Q 1.5.0Q），并要求助记词已暴露的用户创建新助记词并转移资金；此更新仅保护新生成的助记词。 | trmlabs.com |
| 2026-07-24 | Sparrow Wallet（被仿冒） | 假冒应用 | ~$1.8M | 三名用户在加利福尼亚州联邦法院起诉苹果公司，指控一款假冒的“Sparrow Wallet”iOS 应用（正版 Sparrow 并无 iOS 版本）于 2025 年年中窃取了他们的助记词和比特币。苹果拒绝就该诉讼置评，但表示 App Store 上目前没有 Sparrow Wallet 的仿冒应用。 | decrypt.co |
| 2026-06-03 | Trezor（Safe 7，TROPIC01 芯片） | 漏洞 | — | Ledger 的 Donjon 团队在 Trezor Safe 7 所用的 TROPIC01 安全芯片中发现了一个激光故障注入漏洞；利用该漏洞需要实际持有设备、开封芯片并使用实验室设备，且无法通过固件在现有芯片上修复。Trezor 表示钱包密钥和备份并不存储在该芯片上，因此资金、PIN 码和备份不会泄露，用户无需采取任何行动。 | trezor.io |
| 2026-04-20 | 多个（MetaMask、Ledger、Trust Wallet、Coinbase 等被仿冒） | 假冒应用 | — | 卡巴斯基（Kaspersky）报告在苹果 App Store 上发现 26 款假冒钱包应用，它们属于一场至少自 2025 年秋季起便活跃的攻击活动。这些应用诱导用户通过开发者描述文件安装植入木马的钱包版本，或在虚假界面上索要恢复短语。 | kaspersky.com |
| 2026-04-07 | Ledger（被仿冒） | 假冒应用 | ~$9.5M | 苹果 Mac App Store 上一款假冒的 Ledger Live 应用收集用户的恢复短语；ZachXBT 将 2026 年 4 月 7 日至 13 日期间约 950 万美元的盗窃案与其关联，其中三名受害者各损失逾 100 万美元。苹果下架了该应用，但未解释其如何通过审核。 | theblock.co |
| 2026-02-14 | Trezor, Ledger | 网络钓鱼 | — | 使用伪造 Trezor 和 Ledger 信头的实体信件声称必须进行强制性的“身份验证检查”（Authentication Check）或“交易检查”（Transaction Check），并通过二维码将收件人引导至收集恢复短语的钓鱼网站。两家厂商均表示从不索要恢复短语。 | bleepingcomputer.com |
| 2026-01-05 | Ledger | 数据泄露 | — | 为部分 Ledger.com 订单提供支付处理服务的 Global-e 遭入侵，客户姓名和联系方式遭泄露。Ledger 表示其自身的硬件、软件和平台均未被入侵，资金没有风险。 | bravenewcoin.com |
| 2025-12-24 | Trust Wallet（浏览器扩展） | 供应链攻击 | ~$8.5M | 一个绕过 Trust Wallet 自身发布流程上架的恶意 Chrome 扩展 v2.68，窃取了 12 月 24 日至 26 日期间登录的用户的恢复短语。Trust Wallet 表示高度确信此次攻击源于 2025 年 11 月的 Sha1-Hulud npm 蠕虫，该蠕虫泄露了开发者的 GitHub 机密信息和一个 Chrome Web Store API 密钥。Trust Wallet 发布了 v2.69，吊销了其发布 API，关闭了数据外传域名，并启动理赔流程以补偿受影响用户。 | trustwallet.com |
| 2025-12-20 | 通用（地址投毒） | 网络钓鱼 | ~$50M | 一名交易者复制了被地址投毒脚本植入其交易记录中的仿冒地址，在进行一笔小额测试转账后，向该地址转入近 5,000 万美元的 USDT。攻击者通过 DAI、ETH 和 Tornado Cash 清洗了这笔资金；受害者悬赏 100 万美元。 | theblock.co |
| 2025-12-16 | Exodus | 政策 | — | 美国财政部海外资产控制办公室（OFAC）宣布与 Exodus Movement 就 254 起明显违反伊朗制裁规定的行为（其中 12 起被认定为情节严重）达成 3,103,360 美元的和解。2017 年 10 月至 2019 年 1 月期间，Exodus 客服人员曾为伊朗用户提供帮助，部分情况下协助他们访问合作交易所，并有 12 次建议使用 VPN。此事并非黑客攻击，用户资金未受影响。 | ofac.treasury.gov |
| 2025-09-08 | 通用（npm 供应链） | 供应链攻击 | ~$600 | 攻击者在钓鱼攻陷一名维护者后，发布了 chalk、debug 及其他约 18 个 npm 包的恶意版本。这些代码在浏览器中劫持 window.ethereum 和网络请求，以替换加密货币收款地址。恶意版本很快被发现，攻击者获利甚微。 | thehackernews.com |
| 2025-06-23 | Trezor | 网络钓鱼 | — | 攻击者以受害者的名义提交 Trezor 客服表单请求，使 Trezor 自身的自动回复邮件带有钓鱼内容。Trezor 表示其系统和数据未被访问，已使钓鱼网站下线，并表示正在努力防止进一步滥用。 | theblock.co |
| 2025-05-07 | 通用（Inferno Drainer） | 盗币程序 | >$9M | Check Point 报告称，Inferno Drainer 已重新投入使用，通过虚假的 Collab.Land Discord 验证页面诱骗受害者，并新增了一次性合约和加密的链上配置以规避检测。 | decrypt.co |
| 2025-04 | Ledger | 网络钓鱼 | — | Ledger 用户收到实体信件，要求通过二维码进行“强制钱包验证”并输入恢复短语。Ledger 确认这些信件属于诈骗，并表示从不索要这 24 个单词。 | theblock.co |
| 2025-03-05 | Trezor | 漏洞 | — | Ledger 的 Donjon 团队演示了对拆焊下来的微控制器实施电压毛刺攻击，可以绕过较早的 Trezor Safe 3 上的部分供应链保护措施。Trezor 披露了该问题，称其难以利用，并提到密码短语和固件校验等防护手段，同时指出 Safe 5 采用了抗毛刺攻击的芯片。 | theblock.co |
| 2025-02-21 | Safe{Wallet} (Bybit) | 供应链攻击 | ~$1.5B | 被归因于 Lazarus 的攻击者入侵了一名 Safe{Wallet} 开发者的电脑，并篡改了 Safe 的 AWS S3 存储桶中的前端 JavaScript，导致 Bybit 的签名人批准了一笔针对其冷钱包的伪装恶意交易。Safe 重建了基础设施，轮换了所有凭证并恢复服务，并表示其智能合约不存在漏洞。 | slowmist.medium.com |
| 2025-02-06 | 通用（SparkCat） | 假冒应用 | — | 卡巴斯基在 App Store 和 Google Play 的应用中发现了 SparkCat SDK；它利用设备端 OCR 在相册中查找恢复短语截图并上传。两家应用商店均已下架相关应用。 | thehackernews.com |
| 2025-01-21 | Ledger | 其他 | — | Balland 及其伴侣在法国遭绑架并被索要加密货币赎金，数日内被警方解救，此前 Balland 的手指受伤；十名嫌疑人被捕。这是针对加密货币持有者的实体“扳手攻击”日益增多的一起典型案例。 | thelocal.fr |
| 2025-01 | 通用（地址投毒） | 网络钓鱼 | >$83.8M | 一项 USENIX Security 2025 研究统计了以太坊和 BSC 上大约两年间约 2.7 亿次地址投毒尝试，损失至少 8,380 万美元。 | arxiv.org |
| 2024-12-30 | Tangem | 漏洞 | — | 一个移动应用日志漏洞会在用户创建助记词钱包时将私钥写入日志，而这些日志可能被发送至 Tangem 客服。Tangem 于 2024 年 12 月 30 日修复了该问题，删除了客服日志，联系了受影响用户，并表示没有资金损失，但因公开说明过少而受到批评。 | cointelegraph.com |
| 2024-09 | WalletConnect（被仿冒） | 假冒应用 | ~$70,000 | Check Point 在 Google Play 上发现一款假冒的“WalletConnect”应用，它在约五个月内持续盗取钱包资产，是 Check Point 首次发现的纯移动端加密货币盗币程序。该应用已被下架。 | thehackernews.com |
| 2024-05-17 | 通用（Pink Drainer） | 盗币程序 | ~$85M | Pink Drainer 是一个以劫持 Discord 和 X 账户著称的“盗币即服务”团伙，在造成约 8,500 万美元的盗窃损失后宣布关闭（ScamSniffer）。 | theblock.co |
| 2024-05-03 | 通用（地址投毒） | 网络钓鱼 | ~$68M | 一名巨鲸向一个被投毒的仿冒地址转入了价值 6,800 万美元的 WBTC。经过链上谈判，攻击者在约一周内归还了几乎全部资金。 | unchainedcrypto.com |
| 2024-02-12 | Safe（被 Angel Drainer 滥用） | 盗币程序 | ~$403,000 | Angel Drainer 部署了一个恶意 Safe 保险库合约，并诱使受害者签署 Permit2 授权，Etherscan 的“已验证”标识给人以虚假的安全感。Blockaid 表示 Safe 本身并未遭到攻击。 | cointelegraph.com |
| 2024-02-06 | Exodus（被仿冒） | 假冒应用 | ~$490K | Ubuntu Snap Store 上一款假冒的“Exodus”钱包 snap 窃取恢复短语；Canonical 在 2 月 12 日接到报告后将其隔离。2023 年 9 月，一款假冒的 Ledger Live snap 曾致一名用户损失约 1 万美元。 | blog.popey.com |
| 2024-01-17 | Trezor | 数据泄露 | — | 攻击者访问了一个第三方客服工单门户，泄露了自 2021 年 12 月以来联系过 Trezor 客服的人员的姓名和电子邮箱；至少 41 人收到了针对助记词的钓鱼邮件。Trezor 向受影响用户发送了邮件，并表示没有资产受损。 | forklog.com |
| 2023-12-14 | Ledger (Connect Kit) | 供应链攻击 | ~$600,000 | 一名前员工的 npm 账户遭钓鱼攻陷后，被用来发布恶意版本的 Ledger Connect Kit，向使用该库的 dApp 注入盗币程序。Ledger 推送了修复，承诺全额赔偿受害者，并宣布将逐步淘汰盲签，转而采用清晰签名（Clear Signing）。 | cointelegraph.com |
| 2023-12-12 | OKX Wallet / OKX DEX | 黑客攻击 | ~$2.7M | 疑似代理管理员（proxy-admin）密钥泄露，使攻击者得以升级一个已弃用的 OKX DEX 合约，并盗走用户已授权的代币。OKX 撤销了相关权限，并承诺补偿受影响用户。 | theblock.co |
| 2023-11-14 | 通用（BitcoinJS 'Randstorm'） | 漏洞 | — | Unciphered 披露了“Randstorm”问题：2011–2015 年间生成的基于 BitcoinJS 的浏览器钱包存在弱随机性（源于 JSBN SecureRandom 和浏览器 Math.random），可能导致密钥被暴力破解。相关用户被建议转移资金。 | forklog.com |
| 2023-11 | 通用（Inferno Drainer） | 盗币程序 | >$80M | Inferno Drainer 自 2022 年 11 月起活跃，在逾 16,000 个钓鱼域名上仿冒了 100 多个加密品牌，于 2023 年 11 月宣布关闭（Group-IB）。 | group-ib.com |
| 2023-10-19 | Ledger Live（被仿冒） | 假冒应用 | ~$768,000 | 据 ZachXBT 披露，自 2023 年 10 月 19 日起，Microsoft Store 上一款假冒的 Ledger Live 应用窃取用户的恢复短语。微软已将其下架。 | bitdefender.com |
| 2023-09-05 | 通用（LastPass 数据泄露） | 数据泄露 | >$35M | 研究人员将一系列加密货币盗窃案与存放在 LastPass 密码库中的助记词联系起来，这些密码库在 2022 年的数据泄露中被盗并遭离线破解。研究人员表示二者很可能相关，但尚无定论。 | krebsonsecurity.com |
| 2023-08-08 | Libbitcoin Explorer (bx) — 'Milk Sad' | 漏洞 | >$900,000 | `bx seed` 命令使用以时间为种子、仅有 32 位熵的伪随机数生成器（PRNG）（CVE-2023-39910），因此助记词可被暴力破解。Libbitcoin 援引其文档中的警告，否认这是一个漏洞。 | unchainedcrypto.com |
| 2023-06-03 | Atomic Wallet | 黑客攻击 | >$100M | 数千名 Atomic Wallet 用户的资金被盗，Elliptic 将此次攻击归因于朝鲜的 Lazarus Group。Atomic 始终未确认根本原因，仅列出四种可能的攻击途径；该公司与交易所、Chainalysis 和 Crystal 合作冻结资金，但未宣布赔偿。 | decrypt.co |
| 2023-05 | Ledger (Recover) | 政策 | — | Ledger 于 2023 年 5 月 16 日宣布推出 Ledger Recover，这是一项可选的付费服务，会将助记词加密并拆分给三家托管方保管。用户质疑固件可以提取密钥，首席执行官 Pascal Gauthier 为沟通不当致歉，承诺加快开源进程，并推迟了该服务的上线。 | forklog.com |
| 2023-04-22 | Trust Wallet（浏览器扩展） | 漏洞 | ~$170,000 | Trust Wallet Core 中的一个 WebAssembly 熵缺陷，导致部分由扩展生成的钱包可被猜解，随后发生了两起漏洞利用事件。Trust Wallet 修复了该问题，保全了大部分面临风险的资金，并建立了赔偿机制。 | theblock.co |
| 2023-02 | OneKey | 漏洞 | — | Unciphered 发布了一段视频，展示利用固件漏洞在约一秒内从 OneKey Mini 中提取机密信息。OneKey 表示已修复该漏洞。 | unciphered.com |
| 2022-12 | BitKeep（现 Bitget Wallet） | 假冒应用 | ~$8M | 通过钓鱼网站传播的植入木马的 BitKeep Android APK 窃取了用户私钥；Google Play 版本未受影响。 | halborn.com |
| 2022-10-18 | BitKeep Swap（现 Bitget Wallet） | 黑客攻击 | ~$1M | BitKeep 的 Swap 功能在 BNB Chain 和 Polygon 上遭漏洞利用。BitKeep 暂停了 Swap 功能，并承诺通过理赔门户提供 100% 赔偿。 | web3.bitget.com |
| 2022-10-11 | Rabby Wallet | 黑客攻击 | — | 上线不到一个月，Rabby Swap 路由合约中的一个漏洞被利用，用户已授权的代币遭盗。Rabby 要求 Swap 用户撤销所有授权。 | theblock.co |
| 2022-09-20 | Profanity 靓号地址（Wintermute） | 漏洞 | ~$160M | 做市商 Wintermute 损失 1.6 亿美元，普遍认为原因是其管理员热钱包是由 Profanity 生成的靓号地址，其密钥可被暴力破解。1inch 在一周前已披露了 Profanity 的漏洞。 | theblock.co |
| 2022-08-02 | Slope Wallet | 漏洞 | ~$4M–$5M | Slope 的移动应用将助记词发送到 Sentry 日志服务器，并以未加密形式存储（Otter Sec）。Slope 要求用户转移资金；Phantom 表示其系统未被入侵，受影响的 Phantom 用户曾导入 Slope 助记词。 | theblock.co |
| 2022-06-16 | MetaMask, Phantom（及 Brave） | 漏洞 | — | Halborn 披露的“Demonic”漏洞表明，浏览器的“恢复会话”文件可能将助记词以未加密形式存储在磁盘上。MetaMask 和 Phantom 发布了修复。 | theblock.co |
| 2022-04-17 | MetaMask (iOS) | 网络钓鱼 | ~$650,000 | 一起电话诈骗劫持了一名用户的 Apple ID，并利用其 MetaMask 保险库的 iCloud 备份盗空了钱包。MetaMask 向用户发出警告，并发布了为该应用关闭 iCloud 备份的步骤。 | decrypt.co |
| 2022-04-03 | Trezor | 网络钓鱼 | — | Mailchimp 发生一起有内部人员协助的入侵事件，导致 Trezor 客户收到钓鱼邮件，诱导其安装旨在窃取助记词的假冒“Trezor Suite”应用。Trezor 关闭了相关域名并暂停发送新闻简报。 | siliconrepublic.com |
| 2021-06-16 | Ledger | 网络钓鱼 | — | 犯罪分子利用 2020 年泄露的数据，向受害者寄送经过篡改的假冒 Ledger Nano X“替换”设备，指示受害者运行软件并输入恢复短语。Ledger 重申其从不索要恢复短语。 | bleepingcomputer.com |
| 2021-01-22 | Trezor（被仿冒） | 假冒应用 | >$1M | 2021 年 1 月 22 日至 2 月 3 日，苹果 App Store 上一款假冒的“Trezor”应用窃取了用户的助记词；Google Play 上也出现了类似的假冒应用。 | malwarebytes.com |
| 2020-12-20 | Ledger | 数据泄露 | — | 2020 年 6 月被盗的 Ledger 电商数据库在 RaidForums 上被公开泄露，引发了此后数年的钓鱼、勒索和假冒设备活动。Ledger 此前已停用被滥用的 API 密钥，并于 2020 年 7 月通报了法国国家信息与自由委员会（CNIL）。 | decrypt.co |
| 2020-03-24 | 通用（无限额代币授权） | 漏洞 | — | ZenGo 指出，大多数 dApp 钱包会授予无限额的 ERC-20 授权额度，恶意 dApp 日后可借此盗取资产。Trust Wallet 表示将进行升级；MetaMask 和 Brave 已提供高级授权额度控制功能。 | cointelegraph.com |
| 2020-01-31 | Trezor | 漏洞 | — | Kraken Security Labs 利用电压毛刺攻击，在物理接触设备不到 15 分钟内从 Trezor 设备中提取了加密的助记词；该微控制器缺陷无法修补。Trezor 表示 BIP39 密码短语可以抵御这种攻击。 | theblock.co |
| 2019-04 | Electrum | 其他 | — | 一个通过 Smoke Loader/RIG 传播的僵尸网络对正常的 Electrum 服务器发动 DDoS 攻击，迫使旧版客户端连接到恶意钓鱼服务器。Electrum 利用 3.3 之前版本客户端中的一个 DoS 漏洞强制用户升级，并为服务器运营者发布了指南。 | malwarebytes.com |
| 2019-02-22 | Coinomi | 漏洞 | — | 一名用户发现，Coinomi 桌面钱包会将恢复字段中的文本（包括助记词）发送至谷歌的拼写检查 API。Coinomi 将其归咎于一个配置错误的插件，并于 2019 年 2 月 22 日修复。 | theblock.co |
| 2018-12-27 | Trezor, Ledger | 漏洞 | — | wallet.fail 团队在 35C3 大会上演示了针对 Trezor One（在未设密码短语时提取密钥）以及 Ledger Nano S/Blue 的攻击。Trezor 承诺发布固件修复，并批评对方未进行协调披露。 | crowdfundinsider.com |
| 2018-12-21 | Electrum | 网络钓鱼 | >$4M | 恶意 Electrum 服务器滥用客户端显示富文本错误信息的功能，弹出虚假的“更新”提示，链接到植入木马的钱包，以窃取助记词或篡改付款去向。Electrum 在 3.3.3/3.3.4 版本中修复了该问题，随后强制用户升级。 | malwarebytes.com |
如何保护自己
只从自己手动输入网址的官方网站或官方应用商店页面下载钱包；切勿在任何网站上输入助记词，也不要将其透露给所谓的“客服”；签名前仔细阅读每一笔交易和授权；粘贴地址时核对每一个字符，而不只是开头和结尾几位，因为地址投毒攻击正是仿造这些字符；大额资产请存放在硬件钱包中。另请参阅助记词安全和加密钱包诈骗。
方法与引用
条目来自厂商事后报告、安全研究人员以及信誉良好的新闻报道，每一行均注明来源。损失金额以事发时的报道为准。记者和研究人员可以引用本页面，请附上链接。数据可在我们的媒体页面免费下载。欢迎指正。