代币合约已验证仍是假币？发行方地址还要查
合约已验证只是"代码公开"，不是"身份认证"。 假币项目方完全可以复制真币的开源代码部署一个完全相同的合约，然后在区块浏览器上通过验证——看起来有"绿色对勾"，但发行方地址和真币完全不同。查到发行方是谁、是否可信，才是区分真伪的关键。
1. 先搞清楚"已验证"到底验证了什么
在 Etherscan 等区块浏览器上，一个代币显示"Contract Source Code Verified"，只说明一件事：
该合约的链上字节码（bytecode）和开发者提交的源代码是一一对应的。
以太坊官方文档明确指出，合约名称、代币符号、甚至持有者分布都可以被伪造，这些信息只是 ERC-20 合约存储的一部分，可以由合约开发者随意指定。同一个符号可以被无数个合约使用，区块浏览器上的"已验证"不代表"这是官方发行的那个代币"。
举个例子：真正的 ARB 代币和仿冒的 wARB 代币都可能在 Etherscan 上显示为"已验证"，但真正能区分的，是它们背后的部署地址和发行方。
2. 真正要查的核心：发行方地址（Deployer Address）
步骤1：在区块浏览器里找到合约的"创建者"地址
做什么：打开代币的合约详情页，找到"Created by"或"Creator"字段。
怎么做：
在 Etherscan 上，代币详情页的"Contract"标签下，会显示"Created by"和一个地址。
点进这个地址，查看它的交易记录和历史行为。
做到什么程度算完成：你拿到了这个代币合约的创建者地址。
步骤2：对比官方渠道发布的创建者地址
做什么：去代币所属项目的官方网站、GitHub 或官方 X（Twitter）账号，查找它公开的合约部署地址。
怎么做：
如果项目方从未公开过部署地址，或者公开的地址和你在区块浏览器上看到的不一致，这就是一个危险信号。
在 CoinGecko 或 CoinMarketCap 上查该代币的官方合约地址，用这个地址反查创建者是否一致。
做到什么程度算完成：你确认了该合约的创建者地址与官方公布的部署地址完全一致。
3. 如果发行方地址没问题，再检查这些细节
如果创建者地址对得上，但你还是不放心，可以继续排查以下风险点：
检查一：是否有"mint"或"增发"权限
做什么：在合约的"Write Contract"或"Read Contract"标签下，看有没有
mint()、pause()、setTax()等特权函数。怎么做：如果这些函数的拥有者没有放弃所有权（
renounceOwnership），说明项目方仍可以随时增发代币，构成潜在风险。
检查二：流动性池深度
做什么：在 Uniswap 或 DEX 上查该代币的流动性池大小。
怎么做：假币的流动性池通常极小，小额买卖就能导致价格剧烈波动，因为骗子不想真的押上真金白银。
检查三：区块浏览器上是否已被社区标记为"诈骗"
做什么：在 Etherscan、BscScan、Solscan 上看该合约地址是否带有红色警告标记。
怎么做：社区和 Etherscan 团队已经识别并标注了大量诈骗代币，被标记的通常可以直接排除。
常见失败原因
"只看了绿色对勾就以为是真币"：以太坊官方文档明确警告过，骗局代币可以使用完全相同的名称和符号，并且可以获得合约源码验证的绿色勾，因为浏览器验证的是代码是否匹配，不是代币是否官方。真正安全的是到官方渠道核验合约地址，而不是相信任何图标、名称或"已验证"标签。
前置条件：你已经拿到了一个代币的合约地址，准备买入或交互。
风险提醒：如果买入了假币，你的真实资产本身不会直接被盗，但这些假币没有流动性，无法卖出或转账，意味着你投入的真金白银直接归零。如果将该假币授权给恶意合约，骗子可能利用授权转走你钱包内的假币，但通常无法通过假币授权影响真币——即便如此，凡是遇到可疑代币的授权请求，一律拒绝才是上策。
做完以上检查，怎么确认自己没有被骗？
拿着代币的合约地址，找到项目方官网，把官网页面上列出的合约地址和你手里的地址逐字符比对一遍。再到区块浏览器里点开"Creator"字段，看这个创建者地址是不是一个有正常历史记录的知名地址，而不是今天刚注册的新地址。如果两者都对得上，风险才降到最低。如果还有任何一处在"官网 vs 合约地址 vs 创建者"这条线上对不上，直接跳过这个币。
