WoToken AI Swap：伪装去中心化AI交易聚合器的钱包，授权后资产被合约后门批量转移

骗谁

受害人群以币圈散户、习惯使用热钱包DeFi应用的中青年为主，部分人有一定链上操作经验但缺乏合约审计能力。他们普遍被“AI自动搬砖”“一次授权长期稳定收益”“去中心化安全透明”等话术击中，存在追逐高收益、相信技术包装、不愿花时间核对合约权限的心理弱点。很多人即使知道授权有风险，仍因贪图小额空投或高年化收益而选择冒险，最终在不知情中把代币转移权限交给有后门的智能合约。

骗局怎么运作

• 第一步：伪装AI交易聚合器。骗子搭建外观接近DeFi聚合器的网站或DApp，页面突出“AI Swap智能比价”“跨链最优路径”“自动套利引擎”等关键词，并伪造交易量、用户评价和所谓审计报告，让用户误以为这是正规的AI驱动交易工具。
• 第二步：诱导连接钱包。在社群、Telegram群或私信中投放“限时空投”“AI内测邀请码”“高年化流动性激励”等诱饵，引导用户点击链接并连接MetaMask、Trust Wallet等热钱包。话术通常强调“只连接不转账，零风险参与”。
• 第三步：弹出恶意授权请求。连接后页面会弹出“Approve”或“授权”窗口，但授权对象并非正规路由合约，而是骗子预先部署的后门合约。界面会刻意把授权说明写得模糊，或把无限授权伪装成“智能合约自动执行所需权限”。
• 第四步：无限额度授权埋雷。用户一旦点击确认，实际授予的是代币无限额度转移权限，部分合约还设置延迟触发或分笔小额转移规则，以避开链上监控和安全提醒。此时用户资产表面上仍在钱包中，但控制权已部分失去。
• 第五步：批量转移并伪装系统故障。骗子在积累足够多授权账户后，通过合约后门将授权代币批量转入多个中转地址，再经混币器或跨链桥洗白。不少用户在提现失败或发现余额归零后向“客服”咨询，客服会先以“链上拥堵”“AI策略回撤”等话术安抚，随后关闭群组、注销域名跑路。

红旗信号（看到这些快跑）

• 🚩 要求连接钱包并立即弹出Approval授权，但授权对象不是知名DEX或DeFi协议地址。
• 🚩 授权额度默认或强制为无限额度，而不是用户本次操作所需的具体金额。
• 🚩 网站域名与官方知名项目高度相似，但注册时间短、无真实团队信息、无开源合约。
• 🚩 以“AI自动套利”“零风险空投”“稳赚不赔”等话术作为主要推广卖点。
• 🚩 社群或客服频繁催促用户授权，并宣称“不授权无法领取奖励”“授权后立刻到账”。

真实案例

• 2026年4月，OFweek人工智能网报道称AI骗局已从卖课向Token传销迭代，其中提到有项目借AI交易聚合器名义诱导钱包授权，资金通过链上合约自动转移。
• 币安商城BNM相关曝光显示，骗子以“零撸”为诱饵引导用户连接钱包，用户授权后资产被合约后门批量清空，数万账号被波及。
• 公开资料显示，WoToken数字货币传销案已进入司法程序，涉及约71万人、金额约77亿元，案件二审宣判后仍有部分用户深陷其中。

官方态度

• 2026年4月，国家安全部发布Token安全警示，提醒公众谨防“囤词元能暴富”等骗局。
• 中央网信办曾通报“www.4stoken.cn”网站涉嫌犯罪经营AI大模型API接口的查处情况。
• 多地公安机关持续发布钱包授权诈骗预警，提示用户谨慎授权、定期检查钱包权限。

怎么防护

• ✅ 在连接钱包前，先通过区块浏览器核实拟授权合约地址，确认是否为官方公布的协议地址。
• ✅ 拒绝任何默认无限额度的授权请求，尽量将授权额度限制为本次操作所需的最小金额，并设置授权撤销时间。
• ✅ 安装并使用钱包权限检查与管理工具，定期撤销不再使用的代币授权，避免长期暴露风险。
• ✅ 对“AI自动套利”“零风险空投”“一次授权长期收益”等宣传保持警惕，不点击来路不明的DApp链接。
• ✅ 大额资产建议使用冷钱包或独立热钱包隔离，不在同一钱包中存放过多可授权代币。