在 TRON 网络转账 USDT 时，一些用户会通过个人提供的能量租赁 Bot 降低转账成本。诈骗分子利用这一需求，以「低价租赁」「免费能量」为诱饵，在操作过程中替换收款地址，诱导用户将资产转入骗子钱包。
此外，用户在租赁能量时如果误转资产，急于寻找客服退款，还可能遭遇假冒客服，被索取助记词、私钥或诱导进行危险操作，造成进一步损失。本期安全月报将围绕这两个场景，介绍常见骗局手法与防范方法。
一、免费能量陷阱，收款地址被替换
用户在 Telegram 寻找能量服务时，可能看到「1 TRX 全能机器人」「免费能量」等宣传。进入相关 Bot 后，对方以每日免费领取 5 次为诱饵，要求用户填写接收能量的钱包地址，以及之后准备转账 USDT 的收款地址。
（免费能量骗局）
在这类骗局中，Bot 或关联页面诱导用户复制骗子控制的地址，或尝试替换剪贴板中的内容。骗子还可能提前生成与真实收款地址首尾字符相同或相似的地址，降低用户的警惕。如果用户随后直接粘贴地址进行转账，并且只核对首尾字符，就可能误将 USDT 转入骗子钱包。
imToken 安全团队提醒
- 核实服务来源。优先通过 imToken 钱包内提供的能量租赁入口使用服务，不要轻信陌生 Bot、群聊广告或私信推荐。
- 警惕不合理的信息要求。租赁能量通常只需提供接收能量的钱包地址。如果对方还要求填写之后准备转账的 USDT 收款地址，应提高警惕，不要盲目操作。
- 核对完整收款地址。转账前，应将粘贴后的完整地址与原始收款地址仔细比对，不要默认剪贴板内容正确。常用地址可以在确认无误后保存至地址本，使用时再次核对收款对象和网络。关于这类风险，可以阅读：《安全警示｜相同尾号地址骗局》。
二、误转资产后求助，遭遇假冒客服
部分用户习惯先向能量服务商地址支付 TRX，再向交易对象转账 USDT。如果进行第二笔转账时没有重新确认收款地址，就可能误将 USDT 也转入能量服务商地址。
部分个人能量服务缺少可核实的运营主体和官方客服渠道。发生误转后，用户往往难以及时确认应联系谁，以及对方是否具备退款能力。点此了解：能量租赁钓鱼骗局｜安全月报 31 期
在急于找回资产时，如果用户通过 Telegram 搜索客服名称、钱包地址或相关群组，就很可能遇到假冒客服。对方会以「办理退款」「验证钱包所有权」为由索取助记词或私钥，或诱导用户在不明页面签署交易、代币授权等操作，进一步盗取钱包资产。
imToken 安全团队提醒
- 每笔转账都要重新核对用途和地址。支付能量租赁费用与转账 USDT 是两笔不同的操作，不要直接沿用上一笔转账地址。
- 选择来源清晰、客服渠道可核实的能量租赁服务。发生误转后，应通过服务商官网等可信来源确认客服渠道，只提供交易哈希（TxID）、代币名称、转账金额等公开信息，请对方核实处理。
- 任何索要助记词或私钥的行为都是诈骗。不要按照陌生客服的指引，在不明页面签署交易、代币授权或其他无法确认用途的操作。
- 如果助记词或私钥已经泄露，应立即停止使用原钱包，在安全设备上创建新钱包和新助记词，并尽快转移资产。
最后
诈骗手段层出不穷，对于普通用户来说，确实难以全面预防。imToken 将持续关注各类新型骗局，及时向社区同步风险信息和安全提醒，帮助用户降低损失，提升数字资产管理的安全性。
我们诚邀你阅读并分享「imToken 钱包安全月报」，和 imToken 携手，保护每一份代币安全。