假空投网站不直接盗币，而是诱骗你主动授权签名或连接钱包，从而窃取私钥控制权、转移资产权限，甚至长期监听账户动向。一旦签名，攻击者可随时提走你钱包里所有代币，且交易不可逆。
假空投网站到底是什么？
它是指伪装成知名项目（如Blur、Base、zkSync等）官方空投页面的钓鱼网站，通过社交媒体、Telegram群、Discord链接或搜索引擎广告传播。用户点击后看到高度仿真的界面，提示“领取空投需连接钱包并签名验证”，实则签名请求暗藏恶意合约调用权限。
为什么签个名就等于交出钱包？
以太坊及兼容链上的钱包签名不是“确认一下”，而是对一段代码的法律级授权。假空投页面诱导你签名的往往是一笔“授权无限额度”（approve）交易或“委托执行”（permit）指令，授权后攻击者无需私钥即可反复转走你钱包中指定代币，且该授权无法撤销（除非发起另一笔覆盖交易）。
有没有真实发生过？哪些链最危险？
2023年Q4至今，Etherscan和BlockSec已公开标记超120个针对空投的钓鱼域名；其中92%利用了ERC-20 approve机制漏洞。BNB Chain与Base因空投活动密集、新手用户多，成为重灾区。所有EVM链（含Polygon、Arbitrum）均适用相同签名风险逻辑，非EVM链（如Solana）则主要通过恶意Token Program模拟空投页面诱导钱包授权。
普通用户该怎么判断一个空投页面是否可信？
只认准项目官网原始链接（手动输入，不点任何第三方推送链接），检查浏览器地址栏是否为项目官方域名（如blur.io，而非blur-airdrop[.]xyz）、是否有HTTPS锁图标、是否要求签名前明确显示“将授权XXX合约无限访问你的USDC”。凡页面自动跳转、强制弹窗连接钱包、声称“限时领取”的，一律暂停操作。
常见问题
假空投网站能直接盗走我的私钥吗？
不能。它不获取私钥本身，但通过诱导签名获得你钱包的资产操作权限，效果等同于掌握私钥控制权。
我只连接了钱包没签名，安全吗？
连接钱包本身不危险，但只要完成一次恶意签名（哪怕只是点“确认”），攻击者就已获得资产转移权限。
用硬件钱包（如Ledger）就能防住假空投吗？
不能完全防住。硬件钱包仅防止私钥泄露，但若你在其屏幕上确认了恶意签名请求，仍会授权攻击者操作权限。
签名后发现被骗，还能撤回授权吗？
不能自动撤回。需主动发起一笔新的交易，将原授权额度设为0，且须支付Gas费；部分老合约甚至不支持取消。
官方空投会要求我签名吗？
正规项目空投通常只需连接钱包查询资格，极少要求签名；凡要求签名的，必先在官网公告说明签名目的及合约地址，并提供链上可验证的调用详情。