如何判断加密网站是不是假的？

为什么精确域名是第一项检查？

域名是攻击者无法复制的页面部分。 页面设计、标志和措辞都可以随意克隆，但地址栏中的名称属于注册它的人。Kerberus 2026 年 4 月 10 日的指南指出，骗子会注册带有细微字符替换的形似域名，而其中一些使用与拉丁字母外观相同的西里尔字母。

请阅读第一个单斜杠之前的部分。在 https://examplecoin.com.claim-rewards.example/start 中，站点是 claim-rewards.example，而 examplecoin.com 只是放在前面的一个标签。带连字符的名称，例如 examplecoin-claim.com，也是同样的手法，它与 examplecoin.com 是不同的域名。许多手机会缩短长地址，因此在做决定前请先完整打开地址。

锁头能证明加密网站是真的吗？

不能：锁头只表明连接已加密，而不能说明运营该站点的是谁。 Blockaid 2026 年 3 月 19 日关于 2026 年 2 月前端劫持事件的报告称，攻击者在攻击当天为每个被攻陷的域名签发了新的 SSL 证书，包括付费的 Sectigo 证书，以及免费的 Let's Encrypt 和 Google Trust Services 证书，并且这些证书让站点以锁头形式显示为安全。

同一报告描述了一个案例：用户被引导到形似主机，而真实名称的通配符证书同时被签发，因此即使是被劫持的真实域名也能显示有效证书。锁头只解决一个问题，即第三方能否读取流量。它没有回答您真正关心的问题，即该地址的所有者是否为项目方。Let's Encrypt 自己的常见问题也告诉用户，应向 Google Safe Browsing 和 Microsoft SmartScreen 举报滥用其证书的站点。

形似字母和 punycode 呢？

浏览器通过显示 xn-- 而非字母来隐藏部分形似域名，但手动输入的地址才是可靠的防线。 Chromium 文档解释说，Chrome 会检查主机名的每个标签，检查失败时显示 punycode：例如拉丁字母与西里尔或希腊字母混用、易混淆字符、数字形似字符，以及标签骨架与顶级域匹配的情况。结果不取决于浏览器的语言设置，对于某些形似导航，Chrome 还会显示单独的整页警告。

这些保护也有局限：其他浏览器可能采用其他规则，攻击者也可以使用普通字母，例如用 rn 冒充 m。其机制及示例见什么是 IDN 同形异义攻击，形似名称的主要类型见钓鱼者注册哪些形似域名。

应从哪里获取项目方的官方链接？

从项目方已验证的渠道获取，并在两处交叉核对。 Kerberus 将第一个危险信号列为项目方已验证渠道上没有公告，并建议收藏官方网站，直接访问，而不是点击链接。按以下顺序操作：

1. 从您的书签打开项目网站。
2. 在那里阅读领取或铸造链接，而不是在把您带到这里的消息中阅读。
3. 检查已验证的社交账户是否链接到同一地址。
4. 忽略提供代币、客服或抢先访问的私信。
5. 拒绝任何索要助记词或接收代币付费的页面：Kerberus 指出真正的空投是免费的。

如果您怀疑某个站点，请不要连接钱包。请按如何举报钓鱼域名中的步骤进行举报。

为什么现在这一点很重要？

冒充诈骗在 Chainalysis 最新数据中大幅增长。 Chainalysis 在 2026 年 1 月 13 日的报告中称，与 2024 年相比，冒充诈骗增长了 1,400% 以上，支付给这些集群的平均金额增长了 600% 以上，平均诈骗支付额从 $782 升至 $2,764。Interisle 2025 年 9 月 9 日的报告发现，77% 的钓鱼域名为恶意注册，2024 年 5 月至 2025 年 4 月期间，钓鱼中使用的域名超过 150 万个。

这些数字描述的是一个用户无法逐一检查的假网站供应量。项目方也必须采取行动。

项目方可以做什么，使用户不必自己辨别假网站？

注册明显的名称，将它们指向官方网站，并发布一份官方链接列表。 用户如果把 examplecoin.co 或 examplecoin.xyz 打错，就会落到真实网站上，而不是陌生人的页面。将其与主站上的简短“官方链接”页面配合使用，每个已验证渠道都重复该页面，同时配合如何保护加密项目免受钓鱼域名侵害中的控制措施。

根据 Wardmint 2026 年 11 月 12 日的调查，六个核心后缀（.com, .net, .org, .io, .xyz, .app）每年 $128.94，钓鱼者使用的九个后缀每年 $212.41，续费价格相同。Wardmint 只注册项目方自身的变体，不注册其他品牌的形似域名；它不提供监控或下架服务，指南会展示免费工具和官方举报途径。