近期，TRX（TRON）钱包多重签名骗局仍在持续发生。骗子通过诱导用户下载假钱包 App 等方式，窃取用户的助记词 / 私钥，却不立即转走代币，而是先修改用户的 TRX 钱包账户权限。
权限被修改后，钱包地址仍能正常接收代币，但用户无法将代币转出。骗子则会等待用户继续向该地址转入更多代币，再实施盗窃。
本文将介绍 TRON 多重签名机制、骗子的常用手法，以及如何防范与自查这类骗局。
一、什么是 TRON 多重签名机制
多重签名是 TRON 网络的一项安全机制。它允许一个账户由多个地址共同管理，每个地址拥有不同权重。只有参与签名地址的权重之和达到设定阈值，交易才能执行。
例如，当我们创建了一个 TRX 钱包后，这个钱包账户默认的拥有者权限为账户本人，权重和阈值均为 1，即转账需持有拥有者权限的地址进行签名授权才能发起。
如果我们使用多重签名机制将自己的其它地址加入到账户权限中，设置权重各为 1，阈值为 2，那么只有至少两个地址（2/N）共同签名，交易才能完成，从而确保了交易的双重确认。
多重签名机制常用于提高个人账户安全性或多人管理账户。但如果骗子利用这一机制修改了用户的钱包账户权限，就会导致用户失去账户和资产控制权。
权限正常的账户 👆
注：拥有者权限是指一个 TRX 账户的最高权限，具有该权限的地址可进行该账户内的所有操作。了解更多：什么是 TRON 多重签名?
二、什么是 TRON 多重签名骗局
在这类骗局中，骗子通常利用窃取到的钱包助记词 / 私钥，在其它支持多重签名功能的钱包 App 中恢复钱包地址，并签署账户权限变更交易，将自己的地址加入权限、或替换为唯一账户权限。
由于此时 TRX 钱包的转账需要多重签名（用户地址的签名 + 骗子地址的签名、或仅骗子地址签名）才能完成，所以这类骗局被称为 TRX 多重签名骗局。
这就意味着，当用户的 TRX 账户被更改后，用户发起的任何交易都需要骗子的签名授权才能完成。如果只是用户单方面发起交易，就会遇到类似「server：SIGERROR」的报错。
权限被更改的账户 👆
你可能会疑惑，为什么拥有自己账户的助记词 / 私钥，也无法「独立完成」代币的转出操作。
原因在于，助记词 / 私钥用于生成签名，但这份签名是否有效，最终取决于账户当前的链上权限规则。
举个例子，可以把账户权限理解为一套登记在链上的「门禁规则」。正常情况下，只有你的钥匙可以开门。骗子窃取助记词 / 私钥，就相当于「复制」了你的钥匙。随后又将门禁规则改为「你的钥匙和骗子的钥匙必须同时使用」、或者「仅骗子的钥匙才能使用」。
在这种情况下，用户手中只有自己的钥匙，无法单独满足新的门禁规则，因此无法独立完成转账或再次更改账户权限；而骗子手中既有「复制」得到的用户钥匙，也有自己的钥匙，因此能满足规则并随时转走代币。
如果用户一直未察觉异常，只转入代币而不转出，就可能长期被蒙在鼓里。骗子正是利用这一点「放长线钓大鱼」，等账户积累了足够代币后再一次性盗走。
三、骗子还会通过哪些方式利用多重签名诈骗？
除了诱导用户下载假钱包 App，骗子还会通过以下方式实施多重签名诈骗。
- 不安全备份导致泄露：用户错误地将助记词 / 私钥截图、拍照，或保存在手机相册、备忘录、微信收藏、电脑等联网设备中，可能因云端同步、恶意软件或账号泄露而被窃取。
- 诱导用户在恶意链接中签名：骗子推广虚假帐号、能量购买网站等恶意 DApp，或诱导扫描不明二维码。用户在没有看懂交易内容的情况下输入密码签名，实际上批准的是一笔账户权限变更交易。
- 公开助记词 / 私钥进行钓鱼：骗子会在 Telegram、X 等社交平台公开一个诱饵钱包的助记词 / 私钥，声称钱包内有代币可转走。当用户导入钱包并向该地址转入 TRX 支付手续费时，由于权限已被修改，用户既无法转出原有代币，也无法取回转入的 TRX。
- 提供虚假恢复服务（二次诈骗）：账户权限被修改后，骗子可能向链上异常地址发送小额 USDT 或 TRX，并在交易备注中留下「联系解除多签」等诱导信息；或在 Telegram 等平台谎称可提供「技术解封」「恢复权限」等服务，再以收取「解封费」「手续费」等理由实施二次诈骗。
四、安全提醒
imToken 安全团队在此提醒大家：
- 认准官方渠道：下载或更新 imToken 请认准唯一官网：https://token.im/
-
妥善备份保管助记词 / 私钥：使用纸张、助记词密盒等物理介质备份助记词，并存放在安全位置。
- 切勿截图、拍照，或保存在聊天软件、网盘、邮箱、备忘录等联网环境中。任何人以任何理由索要助记词 / 私钥，都不要提供。
-
谨慎签署交易：与 DApp 交互、打开外部链接或扫描来源不明的二维码时，请仔细核对签名确认页面。
- 如果签名页面涉及「账户权限更新」「Owner Permission」等内容，应立即中止操作。
注：imToken 当前不提供 TRON 多签设置及多签转账功能。
- 异常地址立即弃用：如果发现 TRON 钱包只能收款、无法转账，或转账时出现签名错误，请立即停止使用该地址，不要转入任何代币，更不要相信「解除多签 / 恢复权限」的二次诈骗手段。
⚠️ 如果助记词 / 私钥已经泄露，或无法排除泄露可能，请将同一套助记词下其他地址及其他链上的代币，尽快转移至使用全新助记词创建的安全钱包。
五、如何查询账户权限
1. 打开 TRON 钱包，切换至「浏览」页面，输入 TRON 官方浏览器网址 https://tronscan.org/ 并访问。
💡如果进入 TRONSCAN 后页面显示为英文，可点击右上角菜单栏，再依次选择「Preferences（ 偏好设置）」-「简体中文」-「Save（保存）」切换语言。
2. 在输入框输入钱包地址并搜索，进入账户信息页面后，下滑至「权限」栏。
3. 重点查看当前账户权限的拥有者权限，检查是否存在陌生地址。
- 正常状态：各项权限中只有你自己的地址，且权重和阈值均为 1。
- 异常状态：如果账户权限中出现了陌生地址，请立即停止向该地址转入任何代币，并通过 imToken App 内 「我」 — 「帮助与反馈」联系我们协助确认。