陌生代币与 NFT：空投垃圾信息如何安全处理

收到不等于授权

公开链上地址可能被陌生代币或NFT转入，接收本身不等于私钥泄露，也不表示持有人同意项目规则。先检查是否有真正支出、授权或权限变化，再判断是否发生账户入侵。

任何人都可能把资产转入公开地址，攻击者也可能利用此事制造恐慌。不要按陌生消息所说立即迁移全部资产，先用可信工具核对是否有未经授权的支出和实际权限，防止防护动作本身被诱导成诈骗交易。

元数据可能藏有诱导

名称、图像和描述中的链接可能仿冒客服、空投页面或要求连接钱包。打开页面前核对域名和来源，不因钱包显示的“领取”按钮就签名。钱包隐藏垃圾项目通常比为清理画面调用合约更安全。

代币名称和图片可由发行者控制，钱包展示不代表钱包公司担保内容。页面写“中奖”或“退款”都不是付款义务证明，应用内浏览器打开外链仍可能暴露设备和账户资料，应像陌生邮件一样处理。

不要为清理而授权

未知代币的转移、批准或卖出交易可能触发恶意逻辑。拒绝不理解的签名，不输入恢复词或私钥来“激活”余额。隐藏展示不会改变链上资产，也不需要向陌生人付费才能消失。

不认识的资产若无法安全隐藏，可以停止查看其推广资料而不是强行卖出。将其发送到另一地址也可能要与合约交互并花费网络费，普通用户没有义务主动处理所有收到的垃圾资产。

分辨真实损失证据

若出现未经授权的转出，记录区块、交易、时间和受影响服务，立即隔离受信设备并按官方渠道处理。只有收到一个陌生资产而没有异常支出，不能凭恐慌宣称钱包已被盗，也不要给追币诈骗者额外权限。

若资金真正转出，确定是不是自己签过授权、已知平台操作或设备问题，分类有助响应。公开地址可用于查交易，但恢复词不可交给任何人。不要把一封陌生恐吓邮件当成已经掌握私钥的证据。

建立垃圾信息流程

给家庭成员制定“看见、隐藏、核对、报告”步骤，使用单独浏览器配置和只读工具查看。保存仿冒链接、截图与来源，但不要传播可点击诈骗链接。账户安全要靠密钥和签名控制，不靠资产页面看起来干净。

家庭清单可写明谁负责检查、使用哪个只读工具和何时求助，给不熟悉钱包的人可执行步骤。举报时保留原文和域名，不把诈骗链接转发给亲友让他们“帮忙测试”，避免扩大风险。

应急卡可按“被动收到”“元数据链接”“拒绝签名”“真实活动”列现象、可信核对渠道、停止条件和负责人员。先确认事实再执行会改变权限或资金的动作，不按陌生客服的催促交出秘密。只读检查优先，确需更改设置时记录结果并复查恢复入口。事件结束后修补真正的薄弱环节，保留必要证据而不公开身份材料，避免防护过程产生第二次泄露。