在公开区块链上，用户可能收到自己没有购买过的代币。这类代币有时会被称为空投，但并不是所有自动出现在地址中的代币都来自可信项目。
一些代币可能是项目方的正常分发，也可能只是陌生人向公开地址发送的垃圾代币。更值得警惕的是，部分仿冒代币会利用领取奖励、兑换资产或解锁余额等说法，引导用户进入钓鱼网站。
一、为什么陌生代币会出现在钱包中？
区块链地址通常是公开的。任何人都可能向某个地址发送符合该网络规则的代币，因此，收到陌生代币并不必然意味着钱包遭到入侵。
部分项目会按照活动规则分发代币；另一些代币则可能没有实际市场价值，甚至专门用于诱导用户访问外部网站。
所以，不能仅凭代币名称、图标或显示的数量，就认定自己获得了真正的空投奖励。
二、先检查代币来源，而不是先点击领取
如果代币声称来自某个知名项目，应通过该项目已经确认可信的官方渠道核实是否存在相关活动。
核对时应关注活动规则、代币合约地址、支持的网络以及领取条件。不要直接点击代币名称、备注或陌生网站提供的链接。
如果官方渠道没有提及该活动，而代币又附带要求立即领取、验证钱包或连接网站的提示，就应保持谨慎。
三、为什么不能只看代币价格？
陌生代币可能显示很高的估值，但这并不意味着它能够按照该价格出售。
价格展示可能来自不可靠的数据源，也可能存在极低流动性，导致用户即使看到较高的数字，也无法实际成交。
在确认代币真实性之前，不要把钱包显示的估值视为可兑现的财富。尤其是要求先支付费用才能“解锁空投”的项目，更需要核实其真实性。
四、哪些操作尤其需要警惕？
如果陌生空投要求你输入助记词、私钥或钱包密码，就不应继续。
如果网站要求签署消息、批准代币授权或执行合约操作，应先弄清楚这些操作的具体用途。不要因为页面显示“领取奖励”四个字，就认为所有签名都只是领取流程的一部分。
对于不明代币，最安全的做法通常是先不操作。不要为了清理钱包，就随意连接陌生的代币管理网站。
五、已经点击链接怎么办？
如果只是打开网页，没有连接钱包、提交信息或签署操作，风险与已经授权或泄露凭据的情况不同。应关闭页面，并检查是否下载了未知文件。
如果已经连接钱包，应回顾后续是否签署了交易或授权。若已经发生链上操作，可以通过区块浏览器核实交易详情。
如果曾经输入助记词或私钥，应将其视为可能已经泄露，并尽快通过安全方式处理相关资产。不要再按照原网站的指引进行所谓的二次验证。
收到空投不需要立即行动。先确认项目来源和代币合约，再判断是否有必要参与活动，通常比追逐陌生奖励更加稳妥。
