MetaMask 的用戶正受到新一波釣魚詐騙的攻擊，這些詐騙偽裝成官方的安全更新，並利用用戶對錢包保護意識提升的機會。由於這些詐騙設計精巧，技術上合理且極具說服力，因此特別具有危險性。
這類攻擊的第一步通常是收到一封自稱來自 MetaMask 支援的電子郵件，聲稱即將要求啟用兩步驗證（2FA）。該訊息運用了官方品牌元素，設有執行期限以促使用戶迅速行動，整體看起來相當專業。這種緊迫感的設計目的是降低用戶停下來確認內容真偽的可能性。
困難之處
電子郵件中的連結無法通往 MetaMask 的官方網域。相反地，它會導向一個近乎一模一樣的仿冒網站，例如 matamask 或 mertamask。特別是在行動裝置上，這些細微的拼寫差異很容易被忽略。點擊後，用戶將被帶到一個設計精良且仿照 MetaMask 版面的網站，且為了增加可信度，還整合了 Cloudflare 安全驗證。
詐騙行動分階段進行。首先，用戶需要進行人機驗證。接著他們會看到顯示 2FA 已啟用的訊息，包含倒數計時器、進度條以及像 Security Layer Complete 這類令人安心的狀態指示。這些內容與 MetaMask 的基礎設施毫無關聯，僅僅是網站腳本營造出的信任假象。最關鍵的就是最後一步。
在“最終安全驗證”或“校驗碼驗證”的名義下，該網站會要求用戶輸入錢包的恢復助記詞。這正是詐騙的核心環節。任何值得信賴的錢包提供者都不會透過網站要求輸入助記詞。只要輸入後，該詞組會立即傳送給攻擊者，攻擊者就能完全掏空用戶錢包。
複雜的詐騙手法
這種詐騙之所以能夠得逞，並非因為技術複雜，而是因為極具現實感。它模仿了真實的安全流程，並使用用戶熟悉的術語，例如安全加密和驗證等相關說法。
用戶應牢記幾項關鍵守則以保障安全：MetaMask 從不會要求提供助記詞，所有錢包相關操作僅在官方擴充功能或應用內進行，也絕不會透過電子郵件強制推送安全更新。
