空投任务链接是加密世界里最常见的钓鱼入口。一条伪装成官方公告的链接，点进去连接钱包，授权一次，资产就没了。核心原则只有一条：不要相信任何链接，只相信你自己在区块浏览器里核对过的官方合约地址。
以下是交互前核对合约、保护资产的3个步骤。
步骤 1：识别"诱饵替换"——链接指向的不是你以为的合约
最危险的骗局不是让你直接转币，而是用"诱饵替换"手法调包合约地址。你先被一个看似划算的空投机会吸引，在点击确认的那一刻，交易对象、合约地址或授权范围被偷偷替换了。
做什么： 在点击任何空投任务链接之前，先确认它的目标合约地址是不是官方的。
怎么做：
检查域名：空投链接的域名必须与项目官方网站完全一致。骗子常用相似字符或短域名跳转来伪装。把链接粘贴到文本编辑器里，逐字母核对，不要只看前几位。
检查钱包弹窗：连接钱包后，不要急着点"确认"。展开签名弹窗的详情，查看"目标地址"（To Address）和"授权额度"（Allowance）。如果额度显示为"无限"（Unlimited）或数值极大，立即拒绝。
使用交易模拟工具：部分钱包（如Rabby）和区块浏览器支持交易模拟。先在模拟环境里跑一遍，确认交换对象和扣款资产无异常，再在真实环境操作。
做到什么程度算完成： 你在钱包弹窗里核对了目标合约地址，确认它与你从官方渠道获取的地址一致，且授权额度合理。
常见失败原因： 在群里或社交媒体评论里看到有人发链接就点，没有独立验证域名和合约地址。骗子常冒充官方客服或社区管理员私信发送钓鱼链接。
步骤 2：在Etherscan上核对官方合约——你的唯一可信来源
不要相信截图、不要相信群公告、不要相信私聊发来的地址。唯一可信的验证方式，是在Etherscan（或对应链的区块浏览器）上自己查。
做什么： 从项目官方网站或官方推特获取合约地址，在Etherscan/BscScan上搜索并验证。
怎么做：
获取官方地址：只从项目官网（检查域名）和官方推特公告（检查是否带有认证徽章）获取合约地址。
在区块浏览器中核对：打开Etherscan（以太坊）或BscScan（BSC链），在搜索框中输入该合约地址。检查以下信息：
合约是否已验证（Verified）：已验证的合约会显示绿色对勾标记，源码公开可查。未验证的合约风险极高。
合约名称：是否与项目声称的代币名称一致。
持有人分布：是否过度集中在少数地址（如超过50%在前10地址）。
交易记录：该地址近期是否有大量交易活动。
对比你收到的链接：把链接中的合约地址和你从区块浏览器查到的官方地址做逐字符对比。
做到什么程度算完成： 你确认了空投任务要求交互的合约地址，与官方合约地址完全一致（不只是前几位或后几位相同）。
风险提醒： 骗子会创建与主流代币名称相似的"假代币"，并直接空投到你的钱包。如果你尝试与这些空投代币交互（转账、交易、查询），就可能触发恶意合约，导致授权被盗。收到未经请求的空投代币，直接忽略，不要交互。
步骤 3：限制授权额度 + 事后撤销
即使合约地址是对的，一次性授权"无限额度"也会让该合约在未来可以无限动用你的资产。一旦该合约被攻击或项目方作恶，你的资产会全部暴露。
做什么： 授权时设置额度上限，完成任务后撤销不必要的授权。
怎么做：
情况A（钱包支持自定义授权额度）：在钱包签名弹窗中，将授权额度从"无限"改为本次交互所需的具体金额。例如，如果你只需要用100 USDT做交互，就授权100 USDT，而不是无限。
情况B（钱包不支持自定义额度或授权已给到无限）：完成空投任务后，立即使用RevokeCash等工具检查并撤销该合约的授权。
资产隔离：准备一个专用钱包用于参与空投任务，与存放主要资产的钱包分开，且两者之间不要互转。
做到什么程度算完成： 你确认了本次交互的授权额度是有限的，且已经在RevokeCash上检查了历史授权并清理了不需要的合约权限。
如何确认操作正确？
完成一个空投任务后，回答以下三个问题：
链接来源：我是从项目官方网站或官方推特进入的，还是从私聊/群聊里点的？
合约核对：我是否在Etherscan上核对了合约地址，确认它已通过验证且名称与官方一致？
授权状态：我刚才的授权是"有限额度"还是"无限额度"？如果是后者，是否已经用RevokeCash撤销了？
如果三个问题全部过关，这笔交互是相对安全的。如果任何一项存疑，建议立即撤销该合约的授权，并将该钱包中的主要资产转移到新钱包。
