域名要看真正归属

攻击者可以复制图标、颜色和文章，甚至在路径或子域名里放入熟悉品牌。需要识别实际注册域名，而不是只看字符串中有没有平台名字。浏览器锁标志表示连接加密，不等于网站经营者可信。

换一条独立路径确认

收到“账户异常”“限时奖励”消息时，不必顺着消息链接继续。主动打开此前确认的官网或应用，查看是否真的存在相应通知。陌生推广链接可先看跳转结果，涉及资料或签名时更要核对，截图和群管理员推荐都不能代替检查。

请求与目标是否一致

阅读文章不应要求钱包助记词；查看余额通常不需要给陌生合约大额授权；官方账户核查也不应要求向私人钱包缴纳保证金。将自己要做的事情写成一句话，再比较网页实际索取的资料或权限，容易发现不匹配。

已经点开后怎么做

  • 单纯打开页面与提交密码或签名，风险程度不同，先确认发生了什么。
  • 若输入账户密码，立即从可信入口修改并检查会话。
  • 若签署权限，查明对象与撤销方式。
  • 若暴露密钥，按密钥泄露处理，不只关闭网页。

来源与进一步阅读

MetaMask：识别官方钱包提供来源核对思路。