im钱包扫码被转走？警惕这类钓鱼二维码，别让数字资产打水漂

导读： 近期，针对im钱包用户的钓鱼二维码诈骗事件频发，不法分子会将钓鱼二维码伪装成正常交易、活动链接等形式，用户若不慎扫描，数字资产将被转走，造成财产损失，这类诈骗手段隐蔽性强，需广大用户提高警惕，切勿随意扫描来源不明的二维码，谨防上当受骗，切实守护好自身的数字资产安全，避免资产打水漂。...

近期，针对im钱包用户的钓鱼二维码诈骗事件频发，不法分子会将钓鱼二维码伪装成正常交易、活动链接等形式，用户若不慎扫描，数字资产将被转走，造成财产损失，这类诈骗手段隐蔽性强，需广大用户提高警惕，切勿随意扫描来源不明的二维码，谨防上当受骗，切实守护好自身的数字资产安全，避免资产打水漂。

上周,家住杭州的李先生在一个“数字藏品爱好者交流群”里看到一条消息——发消息的是群里活跃的“老成员”，平时经常分享圈内资讯，内容写着“重磅福利：免费领限量NFT，仅限100份”，想着群里都是“圈内人”，不会有问题，李先生直接用存了2枚以太坊的常用imToken钱包，扫了对方发来的带二维码的链接。

前后不到10秒,钱包里的ETH就被转走，按当时市价算，损失近4万元，李先生的遭遇不是个例：据IMtoken官方安全提示，2023年下半年以来，全国多地数字资产用户都遭遇过“imToken钱包扫码被盗”的诈骗，作案手段高度一致——伪装成“福利、空投、客服”的恶意二维码。

这类二维码本质是诈骗者生成的“恶意合约调用码”：它把一个“自动转钱”的程序藏在了二维码里，当用户用imToken钱包扫码时，钱包会弹出授权请求，很多用户根本不看弹窗内容，直接点“确认”，殊不知这相当于给诈骗者开了“无限提款权”——一旦授权，钱包里的所有资产都能被随时转走，甚至设置成“无限授权”后，诈骗者可以批量转走所有资金。

为什么imToken本身安全,却会出现扫码被盗？核心问题在用户的授权操作： 一是被“免费领”“限量空投”的利益诱惑，忽略了风险；二是对“授权”和“转账”的概念完全混淆——很多人以为“授权”只是“确认领取资格”，实际上imToken里的“授权”是把钱包的操作权限暂时交给了第三方，点“确认”就等于把“提款钥匙”递到了诈骗者手里，哪怕弹窗显示“领取成功”，也已经完成了资金转移的授权。

针对这类“imToken钱包扫码被盗”的风险，imToken官方总结了5条必须牢记的安全指南，帮你守住数字资产：

1. 绝对不扫陌生二维码：凡是来自陌生人、非官方社群的二维码，哪怕打着“免费领币、限量NFT”的旗号，一律不碰；哪怕是群友发的，也要先确认对方身份，别因为“不好意思拒绝”踩坑。
2. 扫码前确认来源：用imToken内置的扫码功能时，扫完后会显示链接域名——官方域名一般是项目官网或去中心化域名（如xxx.eth），要是显示陌生域名或钓鱼网站特征，直接放弃。
3. 授权时逐字核对：任何imToken的授权弹窗，都要仔细看内容，尤其是“无限授权”“可转出全部资产”“同意合约”这类关键词，只要出现，哪怕是“领取成功”的弹窗，也要立刻取消，别被表面提示迷惑。
4. 开启钱包二次验证：在imToken设置里找到“安全设置”，开启指纹/面部识别验证——每次转账、授权都需要生物识别确认，诈骗者就算拿到授权弹窗，也没法绕过验证操作。
5. 福利先查官方渠道：遇到空投、活动，先去项目的官方Twitter、Discord或官网找链接，别信群里的“专属福利”“内部通道”，官方绝不会用“免费领”这类模糊话术诱导用户扫码。

数字资产的安全,一半靠钱包的技术防护，一半靠用户的操作习惯，imToken作为行业内认可度较高的数字资产管理工具，技术防护做得很到位，但再强的技术，也防不住用户“随手一扫”的大意，很多诈骗就是利用了“贪小便宜”的心态，把恶意程序包装成“福利”“空投”，等你反应过来，钱已经没了。

守护自己的数字资产,从谨慎每一次扫码、每一次授权开始——别让一时的疏忽，变成难以挽回的损失。