指南 · 链接风险 · 2026 年 10 月 · Stefan Tsezarov

看起来没问题的域名

仿冒地址不需要经得起仔细检查。它只需要在一瞬间看起来眼熟。

一条消息说你的交易所账户出了问题。你看了看标志，扫了一眼链接，认出了那个名字。

仿冒域名依赖的正是这一瞬间的认出。

这个地址不需要经得起仔细检查。它只需要眼熟到让你打开它、输入密码或连接钱包就够了。

下面讲讲这种伪装如何运作——以及信任它之前该检查什么。

01找到真正重要的那个域名

看看这个地址：

你看到了 paypal.com，但你访问的并不是 PayPal。注册域名是 secure-verify.xyz。控制这个域名的人可以在它前面放任何熟悉的词。

这些额外的部分叫子域名。它们可以让地址看起来很正式，却与所提到的公司毫无关系。

对于普通网址，从主机名开始——即 https:// 之后、下一个 / 之前的部分。从右往左读这一部分。

不要简单地取最后两段。有些后缀，例如 co.uk，本身就包含不止一段。浏览器使用一份持续维护的 Public Suffix List 来识别这些边界。Public Suffix List 说明。

找到注册域名能告诉你访问的是哪个名称。它不能证明网站由谁运营，也不能证明网站可信。

02来自另一种字母表的熟悉字母

不同书写系统中的某些字母看起来几乎一样。

西里尔字母 а 可能很像拉丁字母 a。西里尔字母 р 可能很像拉丁字母 p。取决于字体，差异可能很难看出来。

例如：

• paypal.com 使用的是拉丁字母。
• раypal.com 开头是西里尔字母 р 和 а。

它们看起来相似，但是不同的域名。

这通常被称为同形异义字攻击：不同的字符组成一个看起来眼熟的名称。Unicode 的安全指南既描述了混用字母表的仿冒，也描述了完全用一种字母表写成却像另一种字母表的名称。Unicode Technical Standard #39。

你的浏览器可能会以 xn-- 开头的编码形式显示国际化域名。显示行为因情况而异，所以不要指望浏览器让每一种伪装都一目了然。

也不要以为非拉丁字母就意味着欺诈。许多正当的网站都在使用它们。问题在于冒充，而不在于字母表本身。

03普通字符也能骗过你

带有欺骗性的名称不一定需要特殊字符。

粗看之下：

• 1 可能被当成小写的 l：paypa1
• 0 可能被当成 o
• rn 可能很像 m：rnicrosoft
• vv 可能很像 w

这些替换利用的是我们不逐个检查字符就认出熟悉单词的习惯。

这些例子说明的是拼写手法。它们并不是在声称某个特定域名目前是恶意的。

当一个地址很重要时，眼熟是不够的。把它和你已经信任的地址比较。

04一个打字错误

另一些仿冒使用多一个字母、少一个字母或调换两个字母：

• gooogle 而不是 google
• coinbsae 而不是 coinbase

这通常被称为错字抢注（typosquatting）。它可能骗到输错地址的人，也可能骗到没注意到消息中错误的人。

拼写相似是需要调查的理由，而不是诈骗的证据。互不相关的企业可能有相似的名称。

不过，对于交易所登录或钱包连接，一个很小的拼写差异就足以让你停下来，通过平常的途径打开该服务。

05对的名称，错的位置

一个真实的品牌名可以出现在地址中，却并不代表这个网站。

比较：

在第一个地址中，paypal.com 被放在子域名之中。在第二个地址中，paypal 出现在路径里——即主机名之后的部分。

这两个地址都不会仅仅因为出现了 PayPal 的名字就属于 PayPal。

路径中出现品牌名可能完全正常：新闻报道、评测和帮助页面每天都会提到各家公司。背景很重要。

还要记住，消息中显示的文字不一定就是它的目的地。标着“打开 Coinbase”的链接可能通向别处。

检查目标地址，而不只是链接的文字。

06威胁列表能告诉你什么

安全工具可以把域名与已举报的钓鱼、诈骗和恶意软件网站列表进行比对。

匹配是停下来的充分理由。没有匹配并不是安全保证。

新的钓鱼域名可能还没被举报。正当的网站也可能被攻破。这两种情况都不需要明显的拼写手法。

把扫描器当作又一个证据来源。它不能仅仅因为没发现警告，就把一个陌生链接变成可信的链接。

07降低风险的习惯

你不需要识别每一种可能的伪装。几个习惯就能减少你需要做这种判断的次数。

• 独立打开敏感服务。对于交易所、支付服务或钱包应用，使用从经过核实的地址创建的书签，或直接打开官方应用。
• 在输入凭据或连接钱包之前检查地址。照搬的标志和逼真的页面设计说明不了多少。
• 当密码管理器表现异常时要留意。密码管理器通常会把保存的登录信息与网站地址对应起来。如果你的密码管理器平时会提示登录、突然却不提示了，在手动复制密码之前先调查一下。自动填充的行为取决于产品及其设置。1Password 解释了域名匹配及其局限。
• 不要让紧迫感替你决定下一步。如果一条消息威胁要关闭账户或声称你的资金有风险，请通过该服务本身核实。
• 也要读一读钱包的请求。检查域名并不能代替检查一笔交易或签名授权了什么。

当一条消息要求你登录、转移资金或连接钱包时，你的下一步很简单：独立打开该服务，并在那里核实这个说法。

本指南中演示手法的地址以文本形式印出，而不是链接。它们说明的是拼写手法，并不是在声称任何特定域名目前是恶意的。本文仅供教育用途，不构成理财建议。

在浏览器中读到一条可疑消息？扫描选中文字的书签无需复制粘贴就能检查它，文字始终留在你的浏览器中。