魚叉式網路釣魚的定義

什麼是 Spear Phishing（定向網路釣魚）？

Spear phishing 是一種高度針對性的網路釣魚攻擊，攻擊者會依據特定個人或組織量身設計詐騙手法，通常偽裝成你熟悉的人或可信賴的服務。與一般網路釣魚不同，Spear phishing 會運用與你實際行為及背景相關的資訊，進一步提升其欺騙性與可信度。

在 Web3 領域，攻擊者常以「項目團隊、客服、技術支援或朋友」等身分出現，誘使你登入「看似官方」的網站或在錢包中「簽署確認」。一旦你輸入密碼或簽署訊息，攻擊者即可掌控你的帳戶或取得你代幣的存取權限。

為什麼 Spear Phishing 在 Web3 中更具威脅性？

Spear phishing 在 Web3 領域的風險特別高，原因有二：其一，區塊鏈交易無法逆轉，資產一旦轉出幾乎無法追回；其二，錢包簽名訊息可能直接授權攻擊者花費你的代幣，無需輸入密碼。

這裡的「簽名」是指你以私鑰核准某項操作，「授權」則是允許智能合約花費你部分代幣。這些操作往往以熟悉語言與真實情境包裝，容易讓人誤認為是日常流程，進而落入陷阱。

Spear Phishing 的攻擊流程為何？

典型的 Spear phishing 攻擊包含多個步驟：攻擊者會先蒐集你的公開資訊（如社群媒體、活動紀錄或鏈上地址），再偽裝成可信任對象聯繫你，製造緊急感，誘使你登入或簽署相關內容。

常見手法包括發送電子郵件或 Telegram/Discord 私訊，謊稱「技術異常、風控檢查、升級或獎勵」，並夾帶釣魚連結。你在假網站輸入憑證或錢包批准看似無害的交易後，實際上就洩露了登入資訊或代幣權限。

於交易所場景，攻擊者可能冒充客服，聲稱「訂單異常需驗證」，引導你造訪假網域；錢包場景則誘使你「授權合約領取獎勵」，實則竊取你的代幣。

常見 Spear Phishing 手法

• 冒充客服及工單系統：攻擊者提及你近期的訂單或充值，稱需「二次驗證」或「解凍帳戶」，並提供操作連結。細節真實，極具欺騙性。
• 虛假空投與白名單：攻擊者以「NFT 發放、測試網獎勵或 Play-to-Earn 補貼」為由，要求你連接錢包並「授權」。實際上，你的授權讓他們的合約取得代幣花費權限。
• 地址投毒：攻擊者將極為相似的假地址植入你的歷史紀錄或通訊錄，若你誤複製並轉帳至該地址，資產即遭竊。這如同在聯絡人名單中混入冒名對象。
• 偽安全警報：彈窗警告如「偵測到安全風險」或「帳戶被盜」，製造焦慮，誘使你登入或安裝「安全工具」。訊息越緊急，風險越高。
• 網域仿冒：攻擊者使用與官方極為相似的網域或子網域，仿造網站外觀，SSL 憑證或拼字略有差異。

如何辨識 Spear Phishing 攻擊？

首先，判斷請求是否具緊急性並要求你立即操作。正規客服會讓你透過官方管道處理問題，不會私訊施壓。

其次，檢查網域與 SSL 憑證。將官方網域儲存為書籤並從書籤造訪；若收到郵件或私訊中的連結，務必手動輸入網域。憑證資訊或拼字的細微差異都應提高警覺。

使用錢包時，務必仔細閱讀每個簽名提示。特別留意「授權、無限額度或代幣花費權」相關訊息。如有疑慮，請勿簽名，可更換裝置或諮詢專業人士。

為防範地址投毒，務必啟用提幣白名單，或於大額轉帳時手動核對地址多個首尾字元，勿僅檢查前後四碼。

如何在交易所防範 Spear Phishing？

重點是僅透過官方管道處理帳戶事宜，並預先啟用安全功能防範風險。

1. 於 Gate 帳戶安全頁面啟用雙重驗證（2FA），如簡訊驗證碼或驗證器 App，登入時須輸入密碼與一次性驗證碼。
2. 設定防釣魚碼——自訂標識會顯示於 Gate 官方郵件中，協助你確認郵件真偽。任何缺少或錯誤顯示該碼的郵件都需特別警惕。
3. 啟用提幣白名單——僅允許向預先核准的地址提幣。即使憑證外洩，資金也無法轉至陌生地址。
4. 僅透過內部工單系統聯繫官方客服，勿於私訊或群組討論敏感事項。如有人自稱客服私訊聯繫，請務必透過 Gate 官網或 App 工單中心核實身分。
5. 隨時檢查登入網域與憑證，只透過書籤或官方 App 造訪，勿點擊郵件或聊天連結。
6. 開啟登入及提幣風險提醒，監控異常裝置登入。如發現陌生裝置，立即強制登出並更改密碼。

錢包簽名時如何防範 Spear Phishing？

原則：放慢操作速度，簽名前充分理解內容，只授予最小必要權限。

1. 使用硬體錢包存放私鑰，即「主密鑰」，將密鑰離線保管於專用設備，降低被盜風險。
2. 僅透過官方入口連接錢包，務必核查網域與合約 URL。對不熟悉的 DApp，先以小額測試。
3. 仔細審查每次簽名請求。遇到「批准、授權、允許代幣花費、無限額度」等提示，務必選擇最小或按需授權。
4. 定期以權限管理工具檢查並撤銷不必要授權，授權越多，攻擊面越大。
5. 分帳戶管理資產：高價值資產僅用於收款地址（不頻繁簽名），日常操作則使用低價值地址。

遭遇 Spear Phishing 後該如何應對？

目標為立即止損、減少損失並保留證據。

1. 如點擊釣魚連結或登入，請立即透過官方管道更改密碼、重設 2FA，並登出可疑裝置。
2. 如錢包已簽署惡意交易，請立刻斷開網站連線並撤銷相關授權，並盡快將剩餘資產轉至新地址。
3. 啟用或檢查提幣白名單，防止資產流失；於 Gate 開啟提幣限制並留意風險提醒。
4. 保存證據（郵件、聊天紀錄、交易雜湊、網域截圖），並透過官方工單系統報案，必要時聯繫警方或平台安全團隊。

Spear Phishing 新趨勢與風險

截至 2024–2025 年，Spear phishing 攻擊日益個人化、自動化。攻擊者採用更擬真的訊息、頭像及檔案，甚至利用深度偽造語音與影片技術增強可信度。

私密通訊平台仍為攻擊高發入口。地址投毒及「授權後盜幣」等鏈上詐騙持續氾濫。隨著智能合約互動與標準不斷演化，利用授權機制的新型詐騙也將迅速升級。因此，理解 簽名原理並限制授權，依然是長期有效的防線。

Spear Phishing 防範重點

核心關注三點：始終透過官方入口與內部管道操作；登入或簽名前務必停下來核查並充分理解每一步；將安全功能（2FA、防釣魚碼、提幣白名單、硬體錢包、定期撤銷授權）養成日常習慣。放慢節奏、謹慎操作，遠比單靠工具更能有效防範 Spear phishing。

常見問題

我收到陌生人空投的 NFT 或代幣，對方稱只要簽名即可領取，這屬於 Spear Phishing 嗎？

極有可能。Spear phishing 攻擊常以「空投獎勵」為誘餌，誘使你簽署惡意智能合約。即使簽名請求看似無害，實則可能授權攻擊者轉移你的錢包資產。收到意外 空投 時，務必透過 區塊鏈瀏覽器查驗發件人身分，無法確認時請勿操作。

有人自稱項目團隊成員在群聊私訊我，要求我輸入私鑰參與白名單驗證，我該怎麼辦？

請立即停止並封鎖對方——這是典型的 Spear phishing。正規項目團隊絕不會透過私訊索取你的 私鑰、助記詞或任何敏感簽名資訊。請檢查近期是否點擊過釣魚連結，必要時將資產轉移至新錢包。

Spear phishing 攻擊者如何取得我的錢包地址或電子郵件？

攻擊者通常透過多種管道蒐集資訊：公開的鏈上地址、社群論壇用戶名稱、外洩的電子郵件資料庫，甚至你在 Discord 或 Twitter 公開分享的細節。這種針對性調查讓攻擊更具精準度而非隨機。降低個人資訊曝光，是最佳防禦方式。

如果我誤簽了惡意智能合約，還能取回資產嗎？

一旦簽署惡意權限，攻擊者通常可將你的資產轉移且無法追回。但仍應立即行動：將剩餘資金轉至新錢包地址，撤銷所有合約授權（可用 revoke.cash 等工具），修改密碼並啟用雙重驗證。同時向 Gate 安全團隊報案，協助進一步調查。

如何判斷自稱來自 Gate 的通知是真實還是釣魚？

Gate 官方通知僅會透過帳戶後台訊息、註冊電子郵件或官方社群媒體發送，絕不會要求你點擊可疑連結或在其他地方輸入密碼。務必直接造訪 Gate 官網，切勿透過外部連結進入。如對訊息真偽有疑慮，請於 Gate 安全中心查證或直接聯繫官方客服。