尽管加密货币市场近期波动较大，但NFT收藏及元宇宙项目仍持续活跃。上周以“免费铸造”（Free-to-mint）模式走红的Goblintown NFT便是典型案例。
DApp Radar数据显示，5月NFT市场交易额达37亿美元，虽环比下降20%，但代币交易量逆势增长6.5%。随着交易活跃度提升，NFT市场正成为黑客与诈骗分子的重点目标。近期频发的安全事件已动摇部分投资者信心。以下梳理了当前NFT领域高发的诈骗与黑客攻击手法。
空投NFT陷阱
Foobar指出，通过空投发送恶意NFT是近期新兴的诈骗策略。黑客向OpenSea用户空投NFT后，会提供一个1 WETH的收购报价。一旦用户确认该报价，即授权合约访问其其他资产或资金。OpenSea通过“批准”（Approvals）机制处理转账，当用户为代币授予批准时，便授权了市场合约的资金支配权。
若授权的市场合约本身存在恶意，用户的资金或NFT将面临被盗风险。因此，选择可信交易平台至关重要。
黑客利用OpenSea等主流平台作案的原因在于：当用户授权OS市场合约并尝试接受报价时，报价会被撤回，系统弹出的错误消息中包含一个URL。点击该链接后，用户可能被诱导签署恶意交易，导致资产被盗。
此外，此类NFT还可能作为代理合约执行后续攻击逻辑。黑客可通过发送少量ETH进行“粉尘攻击”（Dust Attack），追踪钱包所有者关联的其他地址。防范建议：切勿将此类攻击中收到的小额资产转移至其他钱包。
社交媒体账号劫持
伪造或入侵社交账号是NFT诈骗的常见手段。今年4月，Bored Ape Yacht Club官方Instagram账号遭黑，据传24枚BAYC和30枚MAYC被盗，损失高达1350万美元。攻击者在账号发布伪装成铸造页面的钓鱼链接，导致买家直接损失超100万美元，实际链上损失远超此数。
此前，Yuga Labs旗下BAYC、MAYC及Mutant Ape Kennel Club的Discord频道也曾遭入侵。攻击者发布伪装成NFT铸造链接的钓鱼信息，导致至少一名用户丢失MAYC #8662 NFT。
随后，二维码劫持成为Discord服务器中的新威胁。假冒机器人发送消息，要求用户扫描二维码验证身份。诈骗分子利用Chrome驱动获取真实登录页二维码，诱导用户扫描，从而绕过双重验证窃取账户。唯一补救措施是立即重置账户密码。
Rug Pull（撤资跑路）
Rug Pull原多见于DeFi流动性池项目，近两年在NFT市场频发。诈骗方推广虚假NFT系列，通过夸大宣传和收益承诺吸引买家。销售完成后，项目路线图未兑现，宣传渠道消失，NFT价值暴跌，创作者随即失联。
在DeFi场景中，操盘手会在高价抛售代币后抽离流动性，导致价格崩盘，甚至利用智能合约后门窃取资金。
防范建议：深入调查项目团队背景、过往作品及白皮书；优先选择经独立可信机构审计的项目。
拍卖欺诈
此类欺诈多发于二手交易市场。出价最高者在提交报价后，可能替换为低价值加密货币，使卖家以远低于预期的价格成交。建议在接受任何报价前，仔细核对币种及金额。
NFT复制品泛滥
复制成功NFT系列的行为严重损害艺术家与收藏家权益。建议选择具备身份验证和内容审核机制的可信平台。
例如，OpenSea正引入视觉识别技术，对所有上架NFT进行全面扫描并与原始藏品比对，以识别复制品，未来将持续优化模型。同时，人工审核团队将对系统删除建议进行复核，辅助模型迭代。
DeviantArt也已上线DeviantArt Protect工具，帮助创作者检测并阻止NFT复制行为。
安全防护建议
Webrazzi产品经理Burak Özkırdeniz针对上述风险提出以下防护建议：
首先，强烈建议使用Ledger、Trezor等硬件钱包进行交易，可从根源上规避多数在线攻击。无论使用何种钱包，切勿向任何人透露12或24位助记词。助记词等同于钱包本身，一旦泄露且无重置功能，资产将无法恢复。
参与DeFi及NFT交易的用户，应定期检查钱包授权合约列表，并通过Etherscan、Revoke.cash或Zapper等工具及时撤销不必要的授权。
铸造NFT时，务必反复核实项目真实性及铸造页面URL。警惕名称相似的钓鱼网站，许多用户因轻信“优先购买权”而在假页面签署恶意合约。
最后，绝不点击来源不明的链接，也不随意连接钱包。