加密货币钓鱼邮件通常不是靠直接索要私钥得手，而是把邮件当作入口，把收件人引向一个仿冒页面，再借钱包弹窗诱导用户签署自己没看懂的授权或交易。邮件负责制造信任和紧迫感，链上签名才是资产被转走的实际环节。
邮件先解决“让人点开”的问题
公开资料对这类邮件的描述比较一致：它们会冒充交易所、钱包服务商或项目方，主题往往围绕账户安全、身份验证、空投领取或限时活动。常见话术是“账户需要重新验证”“您获得空投，请在限定时间内领取”，用时间压力压缩收件人的判断空间。
为了让邮件看起来可信，攻击者会使用与官方相似的排版、标识和域名，链接也可能托管在信誉较好的云服务上。这意味着仅凭“域名看起来正规”或“邮件没有明显错别字”并不足以判断真伪。邮件本身可以做得像模像样，真正的风险藏在点击之后。
仿冒页面把“连接钱包”和“签名”拆成两步
点开链接后，用户通常看到一个与真实平台高度相似的页面。页面会先请求连接钱包，这一步在钱包里显示的是允许网站查看账户地址，属于较低风险的授权，很多人会直接确认。
问题出在第二步。连接成功后，页面会以“证明所有权”“支付微量手续费激活空投”等理由，触发一个签名或交易确认窗口。此时钱包弹出的不再是简单的连接请求，而是一段需要用户签署的数据或一笔待发送的交易。攻击者利用的心理惯性是：既然已经连接了钱包，再确认一步似乎顺理成章。
这里需要区分两类操作。连接钱包只暴露地址，不等于允许转走资产；而签名请求可能包含授权第三方花费代币、批准某个合约操作资产等实质内容。钓鱼邮件真正利用的，是用户把这两类操作当成同一件事。
恶意签名常见的技术形态
在以太坊及兼容网络上，资料提到的两种典型载体是代币授权和 NFT 批量授权。
一种是利用 ERC-20 代币的 permit 类签名。用户签署的是一段结构化数据，其中包含授权对象、授权额度和有效期。如果授权对象是攻击者地址、额度被设为极大值，攻击者拿到签名后就可以在用户不再确认的情况下转走代币。对普通用户来说，钱包弹窗可能只显示“签署消息”，而不会用自然语言说明“你正在授权某人花掉你全部的某种代币”。
另一种是 NFT 的 setApprovalForAll 授权。用户一旦批准，攻击者便获得管理其名下该类 NFT 的权限，可以逐个转走。钱包界面可能只显示“与合约交互”或“批准”，用户很难从字面上看出这是批量授权。
这两种形态的共同点是：签名在密码学上合法，链上记录看起来也是用户自己发起的操作。区块链网络不会判断用户是否被误导，交易一旦确认，资产转移通常不可逆。
防钓鱼码能做什么，不能做什么
部分交易平台提供反钓鱼码功能：用户在账户安全设置中预设一段唯一代码，此后平台发出的真实邮件会包含这段代码。如果一封自称来自该平台的邮件没有显示正确代码，可以作为可疑信号。
但这个判断有前提。它只适用于已经启用该功能、且该邮件类型确实会附带代码的情况。缺少代码可以提示风险，却不能反推“有代码就一定是真邮件”。代码可能被复制、泄露或在伪造邮件中被重放，邮件显示正确代码也不等于其中的链接和签名请求安全。防钓鱼码解决的是“这封邮件像不像官方发的”，不解决“这个签名该不该点”。
真正需要盯住的是钱包弹窗
从已取得的资料看，钓鱼邮件链条中最薄弱的环节不是邮件过滤，而是用户对钱包弹窗内容的核对。邮件可以伪造，页面可以高仿，但签名请求最终要在钱包里确认。用户至少应看清三件事：请求的是连接、签名还是交易；授权对象是谁；授权额度和范围是什么。
如果钱包只显示一串十六进制数据或含糊的“签署消息”，而页面又催着完成操作，这本身就是需要停下来核对的信号。资料中提到的交易模拟功能，是把待签交易预执行后以自然语言展示资产变化，属于钱包侧辅助手段，但并非所有钱包都具备，也不能替代用户对授权对象的确认。
结论可以收束为一句话：加密货币钓鱼邮件利用的是“邮件建立信任、页面制造流程、签名完成授权”的链条。防住邮件只是第一层，真正决定资产是否被转走的，是用户在钱包弹窗里是否看懂了自己签的是什么。
