如何判斷你的加密貨幣錢包是否遭到駭客入侵：10 大警訊
已確認發生一筆你未授權的轉帳，是最明確的異常警訊。但錢包可能在資金消失之前就已經不安全。遭竊的復原助記詞、隱藏的代幣支出授權，或錢包控制權的變更，都可能讓攻擊者取得存取權限，即使你的餘額看起來仍然正常。
以下有些警訊代表資產真的遭竊，另一些則表示你的錢包或裝置可能已暴露在風險中。兩者的差別很重要，因為補救方法取決於攻擊者是如何取得存取權限的。
如果資金此刻正從錢包流出，請停止向該錢包轉入資金，直接查看本文接近結尾的應對步驟。
加密貨幣錢包遭駭究竟是什麼意思？
你的加密資產記錄在區塊鏈上。錢包透過私鑰或其他授權規則，協助你控制這些資產。復原助記詞（也稱為種子詞組）可以重新產生多個錢包帳戶的金鑰。
人們會用「遭駭」來形容幾種不同的問題：
- 金鑰遭竊： 有人取得你的私鑰或復原助記詞，因而能從其他裝置授權交易。
- 授權遭濫用： 你核准了一份合約或簽署了一項請求，讓某人能轉移特定資產。你的金鑰可能仍未外洩。
- 裝置或應用程式遭入侵： 惡意軟體、假錢包或惡意擴充功能竊取資訊，或篡改你準備發送的內容。
- 交易所帳戶遭入侵： 有人進入替你保管加密資產的公司所提供的帳戶。
硬體錢包有助於保護私鑰，卻無法讓有害的授權變得安全。如果你授權了錯誤操作，硬體錢包仍可能正確地為它簽名。
1. 真實加密資產在未經授權的情況下離開錢包
你發現一筆無法解釋的已完成轉帳、NFT 銷售或提領。這可能發生在手機關機時，或你不在電腦旁的時候。
先排除自己先前安排的操作，例如自動付款、交易所提領，或交易應用程式內的動作。接著到區塊鏈上查核實際交易。
確認確實有真實資產被轉走，而且餘額減少。僅憑錢包活動紀錄中的奇怪項目還不夠。詐騙者能製造誤導性的代幣紀錄，讓它看起來像是從你的地址發出了轉帳。
一旦確認真實資產未經授權被轉走，就應立即採取行動，不必等到整個錢包被清空。
2. 新存入的資金幾乎立即消失
你為了支付交易手續費，將 ETH 或其他網路原生代幣轉入錢包。幾秒內，它就流向陌生地址。下一次存入資金時也發生同樣的事。
這是 sweeper bot（自動掃款機器人） 的常見模式。這類程式會監視已暴露的錢包，自動轉走可用資金。排除你自己刻意設定的自動操作後，這種反覆提領的情況是未經授權存取的強烈警訊。
機器人可以在攻擊者的電腦上執行。關閉錢包應用程式或重新啟動手機都無法阻止它。有些機器人會先放過小額餘額，直到更大筆存款進來，所以資金暫時沒被動用並不代表錢包安全。
不要繼續補充 Gas 費，也不要發送測試存款。你可能只是在替攻擊者提供資金。
3. 發現不認得的代幣或 NFT 授權
許多加密貨幣應用程式會要求代幣支出權限。即使你已停止使用該程式，這些核准授權仍可能長期有效。
警訊包括最近新增了你不認識的支出方、造訪可疑網站後授予存取權限，或支出額度遠超過所需操作。某項 NFT 授權可能允許操作方轉走你持有的某個系列中的所有 NFT。
無上限授權在合法應用程式中也很常見，因此它本身不能證明錢包遭駭。真正重要的是誰擁有權限、對方能轉移什麼，以及你是否原本就打算授予該權限。
檢查網路、真正的代幣合約、支出方和授權金額。將網站與錢包中斷連線，不會取消已記錄在區塊鏈上的授權。
4. 假稱登入的請求卻授予了支出權限
你造訪某個網站，準備登入、領取獎勵或驗證錢包。網站要求你簽署一項不需交易手續費的請求。請求內容卻包含你不打算核准的代幣數量、支出方或 NFT 出售訂單。
有些簽名可以在不需要你另外送出授權交易的情況下允許資產支出。Permit、Permit2 功能，以及交易市場的訂單簽名，都是典型例子。合法應用程式也會使用這些功能，但詐騙者可能把它們偽裝成無害的登入步驟。
不需要支付 Gas 費，完全不能說明這項簽名是否安全。
還有一個陷阱：已簽署但尚未使用的授權，可能在有人提交之前都不會出現在區塊鏈上。你的正常交易清單，甚至有時連授權檢查工具，都可能顯示沒有異常，但該授權其實仍可使用。
如果你簽署了可疑請求，請停止與網站互動，查明這個簽名究竟授予了什麼權限。取消方式依授權類型而異。一般的授權撤銷不會使每一份尚未使用的簽名失效。
5. 錢包出現新擁有者或陌生的控制權限
某些錢包可以有多位擁有者、復原聯絡人、臨時簽名金鑰，或能執行操作的軟體模組。這些通常稱為智慧錢包或智慧帳戶。
如果出現你從未新增的擁有者、所需簽名數量減少、陌生的復原方式或新模組，都需要立即關注。依據其權限範圍，這類變更可能讓其他人不經過你平常的核准流程就能轉移資金。
在 Ethereum 及相容網路上，EIP-7702 功能也允許一般錢包授權程式碼透過自己的地址執行操作。惡意授權可能在復原助記詞沒有外洩的情況下，建立持續性的存取權限。
有個細節很容易忽略：依照此功能，即使交易執行失敗，已接受的委派仍可能保留。「失敗」標籤不一定表示錢包的控制設定完全沒有變更。
使用錢包的官方工具檢查這些權限。單純撤銷代幣授權，無法移除陌生的錢包擁有者或委派權限。
6. 復原助記詞或私鑰已外洩
你曾在網站輸入助記詞、把它傳給自稱客服的人，或將它匯入後來發現是假冒的錢包應用程式。你也可能發現，儲存在遭入侵雲端帳戶或共享檔案中的明文備份曾可被他人存取。
即使資產還沒有移動，也應將由該秘密資訊控制的帳戶視為已遭入侵。其他人可以在別處重建錢包，而你的應用程式不會因此發出登入警示。
更改錢包應用程式的密碼，不會改變已外洩的私鑰。使用相同復原助記詞建立另一個帳戶，也無法解決問題。
影響範圍很重要。外洩的復原助記詞可能讓許多帳戶暴露在風險中；如果外洩的是另外單獨匯入的私鑰，則可能只影響該私鑰控制的帳戶。
7. 錢包應用程式或擴充功能似乎被替換了
你發現自己從未安裝過的擴充功能、假冒的錢包下載程式，或指出某軟體會竊取錢包資料的安全警示。你熟悉的錢包也可能在發生不明變更後，突然要求你復原錢包。
復原提示可能有正常原因，例如重新安裝或應用程式資料被清除。因此，在輸入秘密資訊前應先檢查軟體，而不能單憑提示就斷定資產遭竊。
透過錢包供應商的官方網站核實應用程式，並確認擴充功能的真實身分。熟悉的名稱和標誌很容易被模仿。
如果你已在可疑軟體中輸入復原助記詞，就應視為它已外洩。移除應用程式並不能刪除攻擊者已取得的副本。
8. 貼上收款地址時，地址發生變更
你複製收款人的地址並貼到錢包中，卻出現另一個地址。剪貼簿惡意軟體可以把加密貨幣地址替換成攻擊者控制的地址。
這表示裝置或軟體可能有問題。不一定代表別人取得了你的私鑰，但會使該裝置不再適合安全轉帳。
攻擊者可能使用與原始地址相似的替代地址。只檢查開頭和結尾幾個字元，可能察覺不到調包。請將完整目的地址與可信的副本逐字比對。使用硬體錢包時，請在核准前檢查裝置螢幕上的地址。
如果地址不一致，請取消交易。反覆複製貼上直到其中一個看起來正確，並不能解決問題。
9. 無法解釋的損失蔓延至多個帳戶或網路
單一代幣遺失，可能是某項特定支出授權造成的。但如果使用相同復原助記詞衍生出的數個帳戶都發生未經授權的轉帳，就要懷疑金鑰是否大範圍外洩。
例如，兩個網路都出現損失，加上同一組助記詞下另一個帳戶也有異常活動，就值得擴大調查。應檢查每個受影響的帳戶和網路，而不是假設問題僅限於最先發現異常的代幣。
這種模式有助於縮小問題原因，但並非確鑿證據。多項惡意授權，或在多個網路都有效的錢包授權，也可能造成大範圍損失。
在不同的 Ethereum 類型網路上使用相同錢包地址是正常現象，本身不是警訊。真正的警訊是那些帳戶出現無法解釋的活動。
10. 交易所帳戶出現陌生登入或提領
如果你把加密資產放在交易所，請檢查是否有未知的登入工作階段、遭修改的復原資料、新增的提領地址，或不是你要求的提領。未經你要求而變更雙重驗證設定，尤其嚴重。
請自行開啟官方應用程式或網站來確認警示。令人驚慌的電子郵件可能是網路釣魚。陌生的登入地點也可能由 VPN 或行動網路造成，因此應綜合檢查裝置、時間與帳戶操作。
交易所帳戶遭接管，需要採取帳戶安全方面的應對措施。若供應商提供帳戶鎖定或提領限制功能，請立即使用，聯絡官方客服，並保護電子郵件帳戶及驗證方式。
這類登入檢查不完全適用於由復原助記詞控制的基本錢包。持有金鑰的人可能根本不需要登入你的應用程式。
不足以證明錢包遭駭的異常活動
有些常見情況看起來也可能很嚇人：
- 美元計價餘額降低： 可能只是價格下跌，你持有的代幣數量並沒有改變。
- 應用程式內找不到代幣： 可能選錯帳戶或網路、隱藏了代幣，或遇到顯示問題。
- 未知的 Bitcoin 交易輸出： 付款時，剩餘資金可能會退回至你自己的錢包控制的新找零地址。
- 不請自來的代幣或 NFT： 垃圾資產本身不代表你的金鑰已遭竊。應將其隱藏，不要點擊其中的連結，也不要為移除它而簽署交易。
- 涉及外觀相似地址的小額或零金額轉帳： 這可能是地址投毒，詐騙者在你的歷史紀錄中塞入看起來很像正常收款人的地址，誘使你日後複製。
有些假代幣會複製真實代幣的名稱和代號，甚至製造誤導性的轉出紀錄。將任何紀錄視為遭竊證據前，請先查證真正的代幣合約與餘額。
不要從最近活動紀錄複製收款地址。應向經確認的收款人取得地址，或使用可信的地址簿。
如何查證實際發生了什麼事
針對正確的網路使用可信的區塊鏈瀏覽器。你可以在不連接錢包、不支付費用、也不洩露復原助記詞的情況下查詢公開地址。
請檢查以下細節：
- 帳戶與網路： 確認你查看的是原本持有失蹤資產的地址。
- 交易狀態： 區分待處理活動與已完成的資產轉移。若涉及錢包委派，也應檢查是否儘管執行失敗，權限仍發生變更。
- 實際資產： 確認代幣合約或 NFT 系列，而不是只依賴名稱或標誌。
- 餘額變化與目的地址： 查明哪些資產離開、被送往哪裡。除了主要交易清單，也要檢查代幣與 NFT 轉移紀錄。
- 先前授予的權限： 尋找與損失相關的授權、簽名或錢包控制權變更。
當別人利用代幣授權拿走你的資產時，交易的發送者可能是對方的帳戶。這不代表轉帳無害。同樣地，即使代幣紀錄把你的地址列為來源，也不能證明交易是你本人簽署的。
如果難以解讀鏈上紀錄，可以把公開地址及交易雜湊值提供給經確認的錢包客服。這些資訊有助於調查，而且不需要透露金鑰。
確認警訊屬實後該怎麼做
停止存入資金及簽署請求
暫停向受影響的錢包存款。拒絕新的簽名請求，包括聲稱能「修復」、「驗證」或「解鎖」錢包的提議。停止使用可能受感染的裝置，改用另一台可信任的裝置處理後續步驟。
如果復原助記詞或私鑰外洩
對於由外洩秘密資訊控制的一般錢包，請在可信任的裝置上，以全新的復原助記詞建立新錢包。如果能安全地進行，就將剩餘資產轉走，接著停用受影響的帳戶，並更新所有指向這些帳戶的收款設定。
如果自動掃款機器人正在運作，不要再為舊錢包補充 Gas 費。救回剩餘資產可能需要專業的交易處理方式，而且不保證成功。
如果問題出在授權或已簽署的許可
透過經確認的工具撤銷相關權限，並確認撤銷已完成。在某個網路對某種代幣的授權，不會自動套用至所有其他地方。
對於尚未使用的可疑簽名，請依照錢包或協定規定的特定取消程序操作。在查明該授權是否仍可使用期間，可能需要移動資產。
撤銷權限無法追回已被拿走的資產，也無法讓私鑰已外洩的錢包恢復安全。
如果錢包控制設定遭變更
透過錢包官方的復原或權限管理程序，移除未經授權的擁有者、模組、簽名金鑰或委派。如果擁有者的金鑰外洩，而且錢包支援更換簽名者，就應將其更換。重新認定帳戶安全之前，請先取得該服務供應商的具體指引。
如果交易所帳戶遭他人存取
透過供應商的官方程序鎖定帳戶或限制提領。在可信任裝置上保護電子郵件、修改受影響的密碼、移除陌生登入工作階段，並檢查復原資料和雙重驗證設定。
保留證據並通報損失
在保護剩餘資金的同時，保存交易雜湊值、公開地址、時間戳記、可疑 URL 及相關訊息。向錢包或交易所及適當的主管機關通報事件。
已在區塊鏈上確認的轉帳，通常無法由錢包客服撤銷。能否追回資產，可能取決於交易所是否凍結資金、調查進展，或資金是否被歸還。請提防任何聲稱保證追回資產的人，尤其是要求預先付款或提供復原助記詞的人。