立即移除或隔离该NFT，不要点击、交易或授权任何关联合约。核心风险是恶意合约可能通过NFT触发钓鱼授权、盗取私钥签名权限，或诱导用户访问仿冒页面。99%的陌生NFT无实际价值，且无法追溯发送方真实意图。
为什么陌生NFT可能自动执行危险操作？
部分NFT合约在被接收时会调用onERC721Received等回调函数，若钱包前端（如浏览器插件）未严格校验，可能静默触发跳转、弹窗或请求签名。这不是NFT本身“有病毒”，而是接收动作被恶意合约设计为攻击入口。
平台会不会帮用户拦截这类NFT？
不会。以太坊及主流链（如Polygon、Base）的底层协议不支持“拒收NFT”——只要交易上链，NFT即刻归属目标地址。所有钱包（MetaMask、Trust Wallet等）均无法在链上层面阻止接收，仅能事后隐藏或转移。
为什么觉得“没点链接就没事”是错觉？
很多用户误以为“只要我不点开NFT详情页就安全”，但风险已在链上发生：NFT元数据可能含恶意URI（如IPFS哈希指向钓鱼网站），钱包扩展程序可能自动预加载；更关键的是，后续任何涉及该NFT的操作（如查看、转移、取消授权）都需签名，极易落入诱导签名陷阱。
怎样判断一个陌生NFT是否真的可忽略？
不能靠主观判断。唯一稳妥方式是：1）在区块浏览器（如Etherscan）查该NFT合约地址是否被标记为“Honeypot”或“Proxy Risk”；2）确认合约代码是否开源且经审计；3）检查发送方是否为已知空投项目官方地址。三者缺一不可，任一缺失即应视为高风险。
常见问题
收到陌生NFT后立刻卖掉能避免风险吗？
不能。卖出前需授权交易所合约操作该NFT，此授权签名可能被恶意合约利用，导致资产被盗。出售行为本身不降低风险，反而增加交互次数。
把钱包助记词换掉就能解决吗？
不能。助记词更换只影响新地址，原地址资产和已签署的授权仍有效。陌生NFT及其潜在风险完全存在于原地址链上状态中。
在钱包里隐藏这个NFT是不是就安全了？
不安全。隐藏仅是前端UI过滤，NFT仍在链上，合约仍可响应交互，且隐藏功能对恶意URI预加载、授权请求等无防护作用。
这是不是项目方在做空投福利？
极大概率不是。正规空投必提前在官网、推特等多渠道公告，且不会向随机地址批量发送。未经预告的陌生NFT，99.9%属于垃圾投放或攻击试探。