社工攻擊有哪些套路？真實案例分析

社工（Social Engineering，社會工程學）攻擊不依賴技術漏洞，而是利用人性弱點：信任、貪婪、恐懼、緊迫感。本文梳理加密貨幣行業典型社工套路。先給結論：90% 的散戶被騙源自社工而非技術漏洞，深度偽造（Deepfake）影片是 2025-2026 新興威脅，任何要求你轉賬 / 提供私鑰 / 遠端控制電腦的"客服"都是騙子。日常賬戶可從 幣安官網 入口註冊主賬戶，安卓裝 幣安官方APP，蘋果使用者切換海外 Apple ID 參考 iOS安裝教程。

一、社工攻擊的 7 種典型套路

套路	典型場景	受害者畫像	損失程度
假客服騙局	微信/QQ/電話冒充平臺客服	新手	5-50 萬美元
遠端控制陷阱	TeamViewer / AnyDesk 遠控	中老年 / 新手	全部賬戶
假專案方詐騙	"官方"私聊推薦投資	中等收入使用者	5-100 萬美元
殺豬盤	網戀後引導投資	中老年單身	50-500 萬美元
暗網勒索	"我有你的私密影片"	隱私敏感使用者	1-10 萬美元
假同事 / 假上司	郵件 / 微信冒充公司高管	公司財務	公司資金
深度偽造影片	AI 換臉假視訊通話	高淨值使用者	100-1000 萬美元

二、套路 1：假客服騙局

最常見的社工形態。

典型話術：

• "您的幣安賬戶存在異常登入，需要立即處理"
• "您的 KYC 資訊有問題，需要重新驗證"
• "您可以加快提現，需要先轉入保證金"
• "您賬戶被風控凍結，需要提供助記詞解凍"
• "您參與的活動中獎了，需要先付稅款才能領取"

典型聯絡渠道：

• 微信主動加好友（使用者名稱帶"客服"）
• QQ 加好友（仿冒"幣安官方客服"群成員）
• 電話呼叫（虛擬號 + 顯示來電號"00xxxxxxxxxx"）
• 簡訊連結（仿冒交易所域名）
• Telegram 群冒充客服 DM
• 郵件冒充

真實案例 1：

2024 年某使用者在百度搜尋"幣安客服"，加了號稱"幣安客服"的 QQ。"客服"稱使用者賬戶因可疑交易被凍結，需要"先轉 0.5 BTC 到指定地址作為保證金，驗證後會全額退還"。使用者照做，損失 0.5 BTC（約 5 萬美元）。

真實案例 2：

2025 年使用者接到來電，對方準確報出使用者的姓名、身份證號、手機號、註冊幣安時間（這些資訊在 2025 年 5 月幣安資料洩露後已在黑市流通）。"客服"稱賬戶存在異常，要求安裝 AnyDesk 遠端控制電腦。使用者安裝後，騙子在 30 分鐘內將幣安賬戶內 8 萬美元資產轉移。

防護要點：

• 官方客服永遠不會主動聯絡你（除非你之前提交過工單且郵件回覆）
• 官方不會要求轉賬"保證金"
• 官方不會要求安裝遠端控制軟體
• 官方不會要求提供助記詞、私鑰、密碼
• 任何"中獎"訊息都是騙子

Q：怎麼聯絡真實的官方客服？

唯一正確方式：

1. 登入官方網站或 APP（直接收藏域名，不透過搜尋）
2. 進入"線上客服"功能（通常右下角浮窗）
3. 官方客服只在使用者主動聯絡時響應

官方客服永遠不會主動：

• 加你微信 / QQ
• 給你打電話
• 給你發"賬戶異常"簡訊
• 在社交媒體 DM 你

三、套路 2：遠端控制陷阱

騙子要求使用者安裝 TeamViewer / AnyDesk / 向日葵 等遠端控制軟體。

典型話術：

• "我幫您遠端操作處理賬戶問題"
• "我們的工程師遠端幫您檢視異常"
• "您按我的指引操作即可"

控制後的操作：

1. 讓使用者登入加密貨幣交易所
2. 趁使用者去茶水間或洗手間時操作
3. 修改提幣白名單 → 把騙子地址加入白名單
4. 關閉通知 / 拉黑郵件
5. 提幣轉移 + 關閉電腦

真實案例：

2025 年 6 月某老年使用者接到"幣安風控部門"電話，對方稱賬戶異常需要遠端協助。使用者安裝 AnyDesk 後，騙子讓使用者"輸入登入密碼 + 2FA 後離開 5 分鐘休息"。等使用者回來時，賬戶內 12 萬 USDT 已全部轉走，騙子已下線。

防護要點：

• 任何要求安裝遠端控制軟體的"客服"都是騙子
• 官方客服不需要遠端控制（線上客服可以引導操作）
• 如果已安裝遠端軟體：立即解除安裝 + 改密碼 + 檢查所有賬戶

Q：遠端控制軟體本身有問題嗎？

TeamViewer / AnyDesk 本身是合法工具（IT 遠端支援廣泛使用）。問題不在工具，而在於：

• 使用者不應讓陌生人遠端控制自己電腦
• 加密貨幣交易場景下，遠端控制 = 資產被盜

正常場景使用遠端控制（家人 IT 支援等）無問題，但加密貨幣 / 銀行場景永遠不要安裝遠端軟體。

四、套路 3：假專案方詐騙

冒充加密貨幣專案官方人員私聊使用者。

典型話術：

• "我們專案即將上幣安，提前給您內部價格"
• "限時空投，白名單隻剩 3 個名額"
• "您之前互動過我們專案，可領取 XXX 代幣"

詐騙模式：

1. 私募騙局：要求轉 ETH / USDC 到"專案方錢包"
2. 空投釣魚：連結到 Approve 釣魚站
3. 預售騙局：買"內部價代幣"（實際是仿冒代幣或歸零專案）

真實案例：

2024 年 11 月某使用者在 Discord 上收到"自稱 LayerZero 團隊成員"的 DM：專案即將做空投，提前給該使用者白名單。使用者點選連結連線錢包後，簽名了一個 "Verify wallet" 交易，授權惡意合約轉走錢包內 4500 USDC。

識別要點：

• 官方專案方不會主動 DM 使用者（包括 Discord、Twitter、Telegram）
• 官方空投不需要"先付 Gas"或"簽名驗證"
• 白名單不會透過私聊給（都透過鏈上活動 / 官方公告）

Q：怎麼驗證一個專案方賬號的真實性？

5 步驗證：

1. 檢查 Twitter 藍標（V 標識 + 已知賬號名）
2. 檢查粉絲數量（真賬號通常 10 萬+）
3. 檢查註冊時間（真賬號通常 1 年+）
4. 官方文件交叉驗證（專案官網列出所有官方賬號）
5. 不要相信任何 DM（即使是"驗證過"的賬號，也可能是被盜號）

官方公告 100% 走推特置頂 + Discord 公告頻道，從不透過私聊。

五、套路 4：殺豬盤

殺豬盤（Romance Scam）針對中老年單身使用者。

典型流程：

1. 建立關係（30-90 天）：透過婚戀網站 / 社交平臺搭訕 → 長期網戀
2. 建立信任：對方"專業從事金融"、"善於投資"、"在新加坡 / 香港"
3. 引導加密貨幣投資：推薦"內部交易所"、"獨家挖礦專案"
4. 小額甜頭：讓使用者先投 1-3 萬美元 → 假資料顯示"賺了 50%"
5. 大額收割：使用者加大投資 → 投入 50-500 萬美元 → 平臺跑路或限制提現

真實案例：

2025 年某 55 歲退休教師在婚戀網站認識"在新加坡做金融的李先生"，3 個月網戀後被推薦參與"內部加密貨幣交易所 KCEX 投資"。先投 5 萬元成功提現 5.5 萬元，然後追加投入 280 萬元（養老儲蓄 + 借貸），平臺突然顯示"賬戶異常需要先轉 50 萬元解凍"。最終損失 280 萬元。

特徵：

• "在金融業工作"、"在香港 / 新加坡 / 迪拜"
• 不視訊通話或視訊通話短暫
• 不見面（疫情、出差等理由）
• 推薦"獨家平臺"（不是幣安 / 歐易等主流交易所）
• 讓你下載"交易所 APP"（實際是騙子搭建的假 APP）

防護要點：

• 網戀物件不要談錢
• 任何"獨家投資機會"都是騙局
• 不要相信"賺了多少"的截圖（截圖可 PS）
• 只用主流交易所（幣安、歐易、Coinbase 等）
• 報警 + 全國反詐中心 96110 諮詢

Q：殺豬盤的錢能追回嗎？

追回率極低（< 5%）：

• 騙子通常在境外（緬北 / 柬埔寨）
• 資金已洗到鏈上無法追蹤
• 平臺跑路後無法清算

預防比追回重要 100 倍。

六、套路 5：深度偽造（Deepfake）攻擊

2025-2026 年新興威脅：AI 換臉視訊通話。

工作原理：

• 騙子收集目標的影片素材（社交媒體、採訪影片）
• 用 AI 訓練模型生成"換臉影片"
• 實時換臉 + 聲音克隆，進行視訊通話

真實案例：

2024 年 2 月香港某跨國公司財務部門接到"CFO"視訊會議邀請。影片中 CFO + 4 名同事都"線上"，要求緊急轉賬 2 億港幣（約 2570 萬美元）到指定賬戶。財務按指示轉賬後才發現：所有"同事"都是 AI 換臉影片，CFO 本人對此事一無所知。

針對加密貨幣使用者的 Deepfake：

• "幣安 CEO 視訊通話"：要求驗證賬戶
• "你的家人遇險影片"：要求緊急轉加密貨幣救援
• "假專案方視訊通話"：要求投資

識別要點：

• 詢問只有真人知道的私人問題（小學班主任名字、家庭趣事）
• 要求做特定動作（用手指擋住嘴 / 轉頭 / 摸耳朵）：AI 換臉通常對這些動作支援差
• 觀察光影、瞳孔、嘴部細節：AI 換臉有微小不自然
• 使用第二渠道驗證：結束通話後用其他方式聯絡本人確認

Q：怎麼判斷視訊通話是不是 Deepfake？

簡單測試：

1. 要求對方做"側臉 90 度"：AI 換臉側臉支援差，會出現明顯錯位
2. 要求對方"用手快速擦臉"：實時換臉演算法跟不上，會出現"臉暫時消失"
3. 要求對方"摘眼鏡 / 戴眼鏡"：AI 處理眼鏡邊緣容易出錯
4. 詢問剛剛說過的私人話題：AI 即使能模仿語調，回答細節會卡頓

最可靠的驗證：用第二個渠道聯絡本人。

七、套路 6：暗網勒索

"我有你的私密影片，轉 1 BTC 到 XXX 地址，否則發到你所有聯絡人"。

典型勒索套路：

• 資料庫洩露後批次勒索：騙子從洩露資料庫找到郵箱 + 密碼 → 群發郵件
• "看片網站木馬"（實際不存在）：聲稱記錄使用者訪問色情網站
• PS 假圖：合成"私密影片"截圖

真實案例：

2024 年 11 月數百名使用者收到郵件，對方稱"已透過你電腦攝像頭錄製了你看色情網站的影片"，要求轉 1 BTC（約 8 萬美元）到指定地址，否則發給全部聯絡人。郵件中附了使用者的真實郵箱密碼（來自資料庫洩露）作為"憑證"。實際沒有影片，純屬社工恐嚇。

防護要點：

• 絕大多數勒索是"恐嚇"（沒有真實影片）
• 不要回復，不要轉賬
• 改郵箱密碼 + 其他平臺密碼
• 報警（保留郵件證據）

Q：郵件附帶我真實密碼怎麼解釋？

騙子的密碼來源是資料庫洩露：

• LinkedIn、Adobe、Yahoo 等歷史洩露事件
• 使用者密碼複用 → 騙子知道郵箱 + 密碼組合

這不證明騙子有影片，只證明你的郵箱密碼已洩露需要立即更改。

八、套路 7：假同事 / 假上司

針對企業財務 / 加密貨幣管理崗位。

典型場景：

• 郵件冒充 CEO："緊急轉賬 X USDT 到 XXX 地址"
• 微信冒充財務總監："立即處理這筆加密貨幣付款"
• 簡訊冒充董事長："不要告訴任何人，直接轉"

特徵：

• 緊迫感："立即"、"現在"、"5 分鐘內"
• 保密要求："不要告訴其他人"
• 繞開正常流程："不走 ERP 系統直接處理"
• 金額"剛好"："和你許可權內的最大金額接近"

真實案例：

2025 年某加密貨幣基金會 CFO 收到"CEO 郵件"：要求緊急轉 50 萬 USDT 到指定錢包，理由是"協議談判保證金，下週一退還"。CFO 按指示轉賬後發現 CEO 本人不知情，郵件來自仿冒域名（差一個字母）。

防護要點：

• 任何"緊急 + 保密 + 大額"的指令都警惕
• 第二渠道驗證：電話本人確認
• 走標準流程：不繞開公司報銷 / 審批系統

九、社工攻擊的心理學原理

騙子利用的人性弱點：

弱點	利用方式
信任	冒充"權威"（客服、CEO、警察）
貪婪	"穩賺不賠"、"內部訊息"
恐懼	"賬戶被凍結"、"涉嫌洗錢"
緊迫	"5 分鐘內"、"今天截止"
孤獨	殺豬盤、網戀誘導
互惠	"我們是朋友"、"我曾幫過你"
從眾	"其他人都參與了"、"內部群已有 1000 人"

Q：怎麼訓練自己識別社工攻擊？

3 個原則：

1. "任何讓你緊急行動的都先暫停"：騙子最怕"等等再說"
2. "憑你的職責許可權拒絕"：客服沒有理由要你轉賬
3. "任何超出你認知的好事都不真實"：穩賺不賠不存在

遇到不確定的情況，結束通話 + 聯絡第二渠道驗證。

十、家人和員工教育

社工攻擊的"鏈式反應"：

• 你被騙 → 損失個人資產
• 家人被騙 → 損失家庭資產
• 公司員工被騙 → 損失公司資產

家人教育要點：

• 不接陌生電話長時間通話
• 不安裝來路不明的"客服 APP"
• 任何"我家人遇險需要救援"的電話先打家人本人確認

員工教育要點：

• 公司轉賬走標準流程（不繞開審批）
• 任何"老闆緊急指令"先 Call 本人
• 郵件域名仔細檢查（釣魚域名差一個字母）
• 加密貨幣管理崗位雙人複核所有大額操作

十一、應急響應

被社工攻擊後：

1. 立即停止操作

• 不再相信任何對方說法
• 不要按"客服"指示做任何操作

2. 評估損失

• 哪些賬戶已被訪問？
• 哪些資金已被轉移？
• 哪些資訊已洩露？

3. 緊急止損

• 改所有相關賬戶密碼
• 關閉 API 金鑰
• 聯絡交易所風控凍結
• 聯絡鏈上分析公司追蹤

4. 報警

• 派出所立案（保留報案憑證）
• 全國反詐中心 96110
• 告訴家人和同事（防止騙子繼續詐騙你的關係網）

5. 心理調整

• 被騙不丟人，騙子專業
• 尋求家人 / 朋友支援
• 必要時諮詢心理醫生（殺豬盤等長期受害者）

十二、常見 FAQ

Q：被社工騙的錢能追回嗎？

追回率：

• CEX 內部資產被盜：50-80%（CEX 風控凍結）
• DEX 鏈上轉走：< 5%
• 跨境詐騙（緬北 / 柬埔寨）：基本不可能

響應速度是關鍵（< 24 小時）。

Q：朋友被騙後能向我追責嗎？

法律層面看具體情況：

• 你只是介紹朋友進入加密貨幣 → 不承擔責任
• 你協助朋友"投資到騙子專案" → 可能被追責（共同詐騙或幫助）
• 你純粹是受害者 → 不承擔責任

社工攻擊主要責任在騙子，但避免給朋友推薦特定平臺/專案可降低糾紛風險。

Q：被假客服騙後還能繼續用幣安嗎？

可以。問題不在交易所，在你的賬戶安全：

• 改密碼 + 2FA
• 檢查 API 金鑰
• 檢查登入歷史
• 升級安全設定（反釣魚碼、提幣白名單）

Q：怎麼核實"幣安官方"號碼？

幣安沒有大陸電話客服：

• 任何自稱"幣安客服"的電話都是騙子
• 官方有海外英文電話（使用者主動撥打）
• 官方不會主動打電話給使用者

Q：能起訴騙子嗎？

可以但取決於：

• 騙子身份是否能確定（境外通常無法確定）
• 金額大小（小額起訴成本高）
• 司法管轄權（跨境追訴極難）

中國大陸派出所通常會立案，但實際訴訟極難推進。

Q：把被騙經歷分享出來有意義嗎？

非常有意義：

• 警示其他使用者避免類似騙局
• 幫助警方收集證據
• 心理療愈（說出來比憋著好）

很多反詐警示影片和文章基於真實受害者分享。

Q：發現身邊人在被騙怎麼辦？

3 步：

1. 冷靜溝通：不要直接說"你被騙了"，讓對方反感
2. 提供證據：搜尋類似騙局案例
3. 聯絡警方：如果對方仍不相信，可讓警察上門提醒

殺豬盤等長期詐騙，受害者深度沉浸時很難單純說服。

Q：用 AI 助手能識別社工攻擊嗎？

部分有效。AI 助手可以：

• 識別釣魚郵件特徵（域名 / 措辭）
• 解讀加密貨幣轉賬請求（合理性判斷）
• 提供反詐知識查詢

但最終判斷需要人類：是否信任、是否轉賬。AI 是輔助工具，不替代人腦。

資料來源

• 中國反詐中心公開案例
• 香港警察反詐騙協調中心案例梳理
• 美國 FBI Internet Crime Report（2024）
• Chainalysis 加密犯罪報告（2025）
• SlowMist 社工攻擊案例彙總

風險提示：本文為獨立第三方梳理，不構成投資和法律建議。社工攻擊是加密貨幣行業散戶損失最大的攻擊形態，預防比救援重要 100 倍。所有資料為 2026 年 4 月。