交易模拟显示你会收到一笔代币，但钱包收到的也可能是一条钓鱼链接。2026年7月，学术研究论文arXiv:2607.28747统计了从2024年8月到2025年6月期间，超过4000个利用交易模拟漏洞的钓鱼合约，造成至少5700名受害者损失超过348万美元。当钱包告诉你"将收到0.000...0001 ETH"时，攻击者正在利用模拟和执行之间的那几秒时间差，把合约状态改成清空你钱包的版本。
步骤 1：区分"交易模拟安全"和"交易本身安全"
【做什么】 搞清楚模拟显示的"安全"结论覆盖了什么范围。
【怎么做】 钱包的交易模拟功能，是在你签名之前，基于当前链上状态预执行一遍你的交易，展示会发生的余额变化。它能做到的事：
检测当前交易是否会直接转走你的资产（比如转走 ETH 或 USDT）
显示 Gas 费用和预期余额变化
它做不到的事：
预测合约在模拟和执行之间的状态变化。攻击者利用这个时间差，模拟时展示"你会收到 ETH"，你签名的瞬间合约状态被篡改，实际执行变成了"把你的资产转给攻击者"。
【完成标准】 你能清楚地区分"模拟显示无风险"和"交易本身无风险"是两回事。
步骤 2：识别"交易模拟钓鱼"的关键特征
【做什么】 在签名前，识别这笔交易是否可能来自模拟钓鱼合约。
【怎么做】 学术研究将模拟钓鱼合约分为六类，核心特征是合约的执行结果依赖于动态的链上状态（如区块号、时间戳、Gas 价格等），导致模拟和实际执行走两条完全不同的路径。实际操作中，你需要注意以下信号：
不明来源的"认领"或"奖励"页面：声称你可以免费领取 ETH、代币或空投，但没有正规项目方的社交验证。
"免费"这两个字：钓鱼网站几乎都会用"免费认领"来降低你的警惕性。相关安全案例记录显示，用户在一次模拟钓鱼中损失了143.45 ETH，约46万美元。
钱包显示收到的金额极小：攻击者故意把模拟收到的金额设成0.000...0001 ETH，让你觉得"反正就几毛钱，签了试试"。
高危风险：就算模拟结果显示你"收到"了代币，这也可能是一个假象。攻击者会利用假的交易ID和伪造的链上记录来模拟存款，目的只有一个——让你误以为交易安全，从而签下那个真正清空你钱包的签名。
【完成标准】 你能够判断当前交互的网站是否属于"免费认领"类，且没有经过项目方官方渠道验证。
步骤 3：执行"不信任模拟"的安全流程
【做什么】 用一套不依赖模拟结果的安全流程来处理交易。
【怎么做】
只信任经过验证的 DApp：在连接钱包之前，先去项目官网和社交账号（X、Discord）确认链接是官方的，别在搜索结果里随便点。
独立验证交易内容：不要只看钱包里的模拟界面。在签名之前，去区块浏览器（Etherscan/BscScan）查一下你交互的合约地址是否被标记过，或者有没有"Renounced Ownership"、"Honeypot"之类的警告标签。
理解你签的是"授权"还是"转账"：很多钓鱼攻击诱导你签的是ERC-20 approve授权，而不是直接转账。一旦授权给了恶意合约，它可以在之后的任何时间转走你的代币。模拟界面显示的"收到代币"和"你授权了无限额度"之间没有任何冲突，两者可以同时发生。
大额交易用硬件钱包隔离：硬件钱包的确认流程和签名逻辑与热钱包物理隔离，即使你在钓鱼网站点了连接，它也无法直接提取你的资产。
操作完成的校验方式：交易完成后，不依赖钱包界面的余额显示，直接去区块浏览器查你的钱包地址，确认实际资产变动与你的预期一致。如果浏览器显示资产减少而钱包模拟显示的是"收到"，说明你遇到了模拟钓鱼。
