MetaMask 的用户正成为新一波网络钓鱼诈骗的目标，这些诈骗模仿官方安全更新并利用人们对钱包保护意识的提高。因为它们制作精良、技术上合理且有说服力，这些骗局特别危险。

一封声称来自 MetaMask 支持的电子邮件，提醒用户即将要求进行双因素身份验证 (2FA)，这通常是攻击的第一步。该信息采用了适当的品牌宣传，设有激励迅速采取行动的最后期限，并且显得专业。这种紧迫感的目的是减少用户停下来确认他们所看到的内容的可能性。

哪里变得棘手

无法通过电子邮件的链接访问 MetaMask 的官方域名。相反，它指的是几乎相同的副本，例如 matamask 或 mertamask。特别是在移动设备上，这些细微的拼写更正很容易被忽略。单击后，用户将被定向到一个精心设计的网站，该网站模仿 MetaMask 的布局，并结合了 Cloudflare 安全性来提高合法性。

然后骗局分阶段进行。最初，需要对用户进行人工验证。然后，他们会看到验证 2FA 已激活的消息，其中包含倒计时器、进度条和安全层完成等令人欣慰的状态指示器。这与 MetaMask 的基础设施没有任何联系。这只是为了培养信任而编写的网络内容。最关键的一步是最后一步。

在最终安全验证或校验和验证的幌子下，该网站要求用户输入其钱包的恢复种子短语。这是该骗局的核心组成部分。任何信誉良好的钱包提供商都不会通过网站请求助记词。攻击者输入短语后可以完全清空钱包，该短语会立即传输给他们。

复杂的诈骗手法

这个骗局之所以成功，是因为它是现实的，而不是技术复杂。它模仿实际的安全程序，并使用用户习惯看到的术语，例如安全加密和身份验证的暗示。

用户应牢记一些确保安全的关键准则：MetaMask 从不要求种子短语，在官方扩展程序或应用程序内执行所有与钱包相关的任务，并且不会通过电子邮件强制执行安全更新。