安全警示｜TRX 多重簽名騙局

近期，TRX（TRON）錢包多重簽名騙局仍在持續發生。騙子透過誘導使用者下載假錢包 App 等方式，竊取使用者的助記詞／私鑰，卻不會立即轉走代幣，而是先修改使用者的 TRX 錢包帳戶權限。

權限被修改後，錢包地址仍能正常接收代幣，但使用者無法將代幣轉出。騙子則會等待使用者繼續向該地址轉入更多代幣，再實施盜竊。

本文將介紹 TRON 多重簽名機制、騙子的常用手法，以及如何防範與自查這類騙局。

一、什麼是 TRON 多重簽名機制

多重簽名是 TRON 網路的一項安全機制。它允許一個帳戶由多個地址共同管理，每個地址擁有不同權重。只有參與簽名地址的權重總和達到設定門檻，交易才能執行。

例如，當我們建立了一個 TRX 錢包後，這個錢包帳戶預設的擁有者權限為帳戶本人，權重和門檻均為 1，也就是轉帳需持有擁有者權限的地址進行簽名授權才能發起。

如果我們使用多重簽名機制將自己的其他地址加入帳戶權限中，設定權重各為 1，門檻為 2，那麼只有至少兩個地址（2/N）共同簽名，交易才能完成，從而確保交易的雙重確認。

多重簽名機制常用於提高個人帳戶安全性或多人管理帳戶。但如果騙子利用這一機制修改了使用者的錢包帳戶權限，就會導致使用者失去帳戶和資產控制權。

權限正常的帳戶 👆

註：擁有者權限是指一個 TRX 帳戶的最高權限，具有該權限的地址可進行該帳戶內的所有操作。了解更多：什麼是 TRON 多重簽名？

二、什麼是 TRON 多重簽名騙局

在這類騙局中，騙子通常利用竊取到的錢包助記詞／私鑰，在其他支援多重簽名功能的錢包 App 中恢復錢包地址，並簽署帳戶權限變更交易，將自己的地址加入權限，或替換為唯一帳戶權限。

由於此時 TRX 錢包的轉帳需要多重簽名（使用者地址的簽名 + 騙子地址的簽名，或僅騙子地址簽名）才能完成，所以這類騙局被稱為 TRX 多重簽名騙局。

這就意味著，當使用者的 TRX 帳戶權限被更改後，使用者發起的任何交易都需要騙子的簽名授權才能完成。如果只是使用者單方面發起交易，就會遇到類似「server：SIGERROR」的報錯。

權限被更改的帳戶 👆

你可能會疑惑，為什麼擁有自己帳戶的助記詞／私鑰，也無法「獨立完成」代幣的轉出操作。

原因在於，助記詞／私鑰用於生成簽名，但這份簽名是否有效，最終取決於帳戶目前的鏈上權限規則。

舉個例子，可以把帳戶權限理解為一套登記在鏈上的「門禁規則」。正常情況下，只有你的鑰匙可以開門。騙子竊取助記詞／私鑰，就相當於「複製」了你的鑰匙。隨後又將門禁規則改為「你的鑰匙和騙子的鑰匙必須同時使用」，或者「僅騙子的鑰匙才能使用」。

在這種情況下，使用者手中只有自己的鑰匙，無法單獨滿足新的門禁規則，因此無法獨立完成轉帳或再次更改帳戶權限；而騙子手中既有「複製」得到的使用者鑰匙，也有自己的鑰匙，因此能滿足規則並隨時轉走代幣。

如果使用者一直未察覺異常，只轉入代幣而不轉出，就可能長期被蒙在鼓裡。騙子正是利用這一點「放長線釣大魚」，等帳戶累積了足夠代幣後再一次性盜走。

三、騙子還會透過哪些方式利用多重簽名詐騙？

除了誘導使用者下載假錢包 App，騙子還會透過以下方式實施多重簽名詐騙。

• 不安全備份導致外洩：使用者錯誤地將助記詞／私鑰截圖、拍照，或保存在手機相簿、備忘錄、微信收藏、電腦等聯網裝置中，可能因雲端同步、惡意軟體或帳號外洩而被竊取。
• 誘導使用者在惡意連結中簽名：騙子推廣虛假帳號、能量購買網站等惡意 DApp，或誘導掃描不明 QR Code。使用者在沒有看懂交易內容的情況下輸入密碼簽名，實際上批准的是一筆帳戶權限變更交易。
• 公開助記詞／私鑰進行釣魚：騙子會在 Telegram、X 等社群平台公開一個誘餌錢包的助記詞／私鑰，聲稱錢包內有代幣可轉走。當使用者匯入錢包並向該地址轉入 TRX 支付手續費時，由於權限已被修改，使用者既無法轉出原有代幣，也無法取回轉入的 TRX。
• 提供虛假恢復服務（二次詐騙）：帳戶權限被修改後，騙子可能向鏈上異常地址發送小額 USDT 或 TRX，並在交易備註中留下「聯絡解除多簽」等誘導資訊；或在 Telegram 等平台謊稱可提供「技術解封」「恢復權限」等服務，再以收取「解封費」「手續費」等理由實施二次詐騙。

四、安全提醒

imToken 安全團隊在此提醒大家：

• 認準官方管道：下載或更新 imToken 請認準唯一官網：https://token.im/
• 妥善備份保管助記詞／私鑰：使用紙張、助記詞密盒等實體介質備份助記詞，並存放在安全位置。
  • 切勿截圖、拍照，或保存在聊天軟體、網碟、電子郵件、備忘錄等聯網環境中。任何人以任何理由索取助記詞／私鑰，都不要提供。
• 謹慎簽署交易：與 DApp 互動、打開外部連結或掃描來源不明的 QR Code 時，請仔細核對簽名確認頁面。如果簽名頁面涉及「帳戶權限更新」「Owner Permission」等內容，應立即中止操作。
  • 註：imToken 目前不提供 TRON 多簽設定及多簽轉帳功能。
• 異常地址立即棄用：如果發現 TRON 錢包只能收款、無法轉帳，或轉帳時出現簽名錯誤，請立即停止使用該地址，不要轉入任何代幣，更不要相信「解除多簽／恢復權限」的二次詐騙手段。

⚠️ 如果助記詞／私鑰已經外洩，或無法排除外洩可能，請將同一套助記詞下其他地址及其他鏈上的代幣，儘快轉移至使用全新助記詞建立的安全錢包。

五、如何查詢帳戶權限

1. 打開 TRON 錢包，切換至「瀏覽」頁面，輸入 TRON 官方瀏覽器網址 https://tronscan.org/ 並造訪。

💡如果進入 TRONSCAN 後頁面顯示為英文，可點擊右上角選單列，再依序選擇「Preferences（偏好設定）」-「繁體中文」-「Save（儲存）」切換語言。

2. 在輸入框輸入錢包地址並搜尋，進入帳戶資訊頁面後，下滑至「權限」欄。
3. 重點查看目前帳戶權限的擁有者權限，檢查是否存在陌生地址。

• 正常狀態：各項權限中只有你自己的地址，且權重和門檻均為 1。
• 異常狀態：如果帳戶權限中出現了陌生地址，請立即停止向該地址轉入任何代幣，並透過 imToken App 內「我」—「說明與回饋」聯繫我們協助確認。