上周又有三个朋友被钓鱼了：聊聊怎么在链上安全地看资讯、查项目
上周我微信里至少三个朋友中招了。一个在推特上点了“空投领取”链接，钱包里 2.3 个 ETH 被瞬间转走；另一个在 Google 搜“Uniswap 官网”，点了第一条广告，授权了个假合约；还有一个更离谱，在某个“区块链资讯站”看新闻，页面弹窗让他连接钱包领空投，他连了。
这三个人都不是新手。有两个玩链上超过两年。问题不在于他们不懂，而在于资讯入口本身就是脏的。
你平时看资讯的地方，可能正在偷你的钱
我做过一个小测试。用无痕浏览器搜“crypto news today”，前十条结果里有三条是仿冒网站。域名分别是 coindesk[.]pro、theblock[.]news-live[.]com 这种，页面做得跟真的一模一样，连 logo 和排版都复刻了。区别只有一个：页面上有个“Connect Wallet to Read More”的按钮。
讲真，正经资讯站没有让你连钱包才能看文章的。CoinDesk、The Block、Blockworks 这些，你打开直接读，最多弹个订阅框。但凡要求你连钱包、签消息、授权代币才能“解锁内容”的，99% 是钓鱼。
我自己的习惯是：看资讯只用书签。CoinDesk、The Block、Decrypt、Blockworks 这几家我全部手动输入域名加书签，从来不从搜索结果点进去。搜索引擎的广告位在加密领域基本是雷区，Google Ads 上冒充 Uniswap、MetaMask、Optimism 的广告投放，2023 年 Chainalysis 的报告里提过，光是钓鱼广告造成的损失就超过 3 亿美元。
查项目的时候，别只看官网写了什么
假设你从某篇资讯里看到一个项目叫 XYZ，说 TVL 破了 5000 万美元。你现在要做的第一件事不是去官网看白皮书，是去 DefiLlama 搜这个名字。
DefiLlama 的数据是链上抓的，不是项目方自己报的。如果 DefiLlama 上查不到，或者数字跟文章里说的差了一个数量级，那这篇文章本身就值得怀疑。我上个月看到一篇推文说某 LSD 项目 TVL 有 8 亿美元，去 DefiLlama 一查，实际锁仓量 1200 万。差了 60 多倍。
查到数据之后，下一步是看合约。 Etherscan 上搜项目名，找到官方合约地址，看三件事：
第一，合约有没有被验证。 没验证源码的合约，你根本不知道它里面写了什么。正经项目不会不验证。
第二，Owner 权限在谁手里。 看合约的 owner 是不是一个 EOA 地址（普通钱包），还是多签。如果 owner 是单签钱包，项目方一个人就能把合约里的钱转走。我一般要求至少 3/5 多签才敢碰。
第三，有没有 mint 函数。 有些代币合约里藏着无限增发权限。你在 Etherscan 的 “Write Contract” 标签页里能看到 mint 按钮是不是对所有人开放。如果是，这币随时可以归零。
空投资讯是最容易踩坑的品类
我统计过自己收到的空投相关链接，过去半年大概 40 多条，真正是官方渠道发出来的不到 5 条。剩下的全是各种“撸毛群”里转的、推特评论区贴的、甚至有人私信发的。
有个特别常见的套路：某项目确实要发空投了，钓鱼者抢注一个高度相似的域名，比如官方是 layerzero[.]network，钓鱼站是 layerzero-airdrop[.]com。然后他们在推特上买推广，或者混进 Telegram 群里发。你点进去，页面让你“检查空投资格”，点了之后弹出钱包签名请求。你以为是签名查询，实际上签的是一个 setApprovalForAll 或者 permit 消息，签完你的 NFT 或者代币就被转走了。
我现在的操作流程是这样的：任何空投信息，先去项目的官方推特（认准蓝标，但蓝标现在也能买，所以还要看注册时间和粉丝质量）和官方 Discord 的公告频道交叉验证。两个渠道都确认了，再去官网。官网域名从 CoinGecko 或者 CoinMarketCap 的项目页面点进去，不从任何其他链接跳转。
说到这，你可能会问：那我在链上交互的时候怎么知道自己签的是什么？装个钱包插件不够，我建议至少装一个交易模拟工具。Rabby 钱包自带 pre-transaction simulation，你签之前它会告诉你这个操作会转走什么资产、授权给哪个地址。MetaMask 本身没有这个功能，得配合 Fire 或者 Wallet Guard 这类插件用。
资讯里的“数据”要看是谁给的
很多文章会引用“据 Dune Analytics 数据”或者“据 Nansen 数据”。Dune 的 dashboard 谁都能做，做的人可以选时间窗口、选合约地址、选统计口径。一个项目方完全可以做一个只统计自己利好数据的 dashboard，然后截图发出去。
我自己的做法是：看到 Dune 数据，先找原始 dashboard 链接，看作者是谁。如果作者是项目方自己，数据打个七折看。如果是第三方分析师，看他过往的 dashboard 有没有被社区质疑过。Nansen 的数据相对可信度高一些，但也要看是 Smart Money 标签还是普通地址标签，这两个差别很大。
老实说，链上资讯这行，信息差就是钱。但信息差和被骗之间只有一条很细的线。我见过太多人因为一篇“独家消息”冲进去，结果那篇文章是项目方自己写的软文，发在一个看起来像独立媒体的付费专栏里。
看资讯之前先问自己一句：这个信息源靠什么赚钱？如果答案是“项目方付费”，那它写的东西你就当广告看。真正靠订阅或者靠数据服务赚钱的媒体，比如 The Block 的 Research 板块，相对来说立场会独立一些，因为他们的大客户是机构，不是发币方。
最后说个具体的：把 Etherscan 的 “Token Approvals” 页面加到书签。定期去查一下你的钱包授权了哪些合约。我每个月查一次，上个月发现一个 2022 年授权的旧合约还在权限列表里，直接 revoke 了。那个合约对应的项目早就跑路了，但授权一直有效。这种“沉睡授权”是很多人被盗的原因，钓鱼者拿到私钥或者助记词之后，第一件事就是扫你所有历史授权。