點分辨真假 USDT？合約地址核對、空投陷阱同陌生轉賬嘅處理方法
任何人都可以向你的地址發送代幣，錢包顯示的名稱亦可以任意設定，因此「錢包見到 USDT」並不等於收到真正的 USDT。本文拆解假代幣如何產生、合約地址與網絡的核對方法、空投與授權釣魚的運作方式，以及香港用戶在面交或大額交收時應有的驗收步驟。
假 USDT 並不是甚麼高深技術，任何人都可以在公鏈上發行一隻名稱與圖示相同的代幣，再轉入你的地址，錢包介面看起來與真幣幾乎無異。真正的分辨方法只有一個，就是核對合約地址與所在網絡，而不是看名稱、數量或截圖。本文說明假代幣、空投釣魚與地址污染的機制，以及交收當下應該逐項確認的驗收流程。
點解你會突然收到唔知邊度嚟嘅代幣
公鏈的設計本身就是開放的：只要知道你的地址，任何人都可以向你發送代幣，過程不需要你同意，也沒有辦法事先拒絕。地址本身是公開資料，只要你曾經在任何一條鏈上做過交易，你的地址就會出現在區塊鏈瀏覽器上，並且很容易被程式大量抓取。所以錢包內出現一些你從來沒有買過、沒有聽過的代幣，其實是相當普遍的現象，本身並不代表你的錢包被入侵或私鑰外洩。真正需要留意的不是它為甚麼會出現，而是它出現之後你做了甚麼：絕大多數與陌生代幣有關的損失，都不是收到那一刻造成的，而是持有人主動去查、去換、去點擊之後才發生。
假 USDT 係點整出嚟：名稱、圖示同小數位都可以照抄
在主流公鏈上發行一隻代幣的門檻極低，發行者可以自由設定代幣的名稱、代號、小數位數與總發行量，這些全部只是合約內的參數，沒有任何機構審批。換句話說，一隻代號同樣寫著 USDT、圖示看起來一樣、數量顯示為六位小數的代幣，可以在幾分鐘內被造出來並發送到任何地址，而錢包介面往往只會照樣顯示這些自訂名稱。有些錢包會為已知代幣加上標記或圖示，但這種標記依賴的是代幣清單，未收錄的新代幣就只會以原始名稱顯示，看起來與真幣的分別非常細微。因此「錢包見到 USDT 入咗數」這個畫面，本身完全不能作為收款憑證，截圖更加不能，因為介面顯示的是發行者自己填寫的名稱，而不是資產的真實身份。
唯一可靠嘅分辨方法：核對合約地址同網絡
分辨真假代幣的正確做法，是回到代幣的合約地址，因為合約地址是鏈上唯一不能偽冒的識別，名稱可以重複，合約地址則不會。做法是在錢包或區塊鏈瀏覽器中打開該筆轉賬紀錄，找出代幣的合約地址，再與發行方官方公佈的合約地址逐個字元比對，特別是中間部分，因為偽冒地址通常會刻意令開頭與結尾看起來相似。同時必須確認網絡是否正確：同一種穩定幣在不同鏈上有不同的官方合約地址，TRC20 與 ERC20 的地址並不相同，在錯誤的網絡上出現的所謂官方合約，本身就是問題訊號。核對官方地址時要自行輸入發行方或主流瀏覽器的網址進入，不要點擊對方提供的連結，也不要相信群組內轉發的所謂官方合約截圖。若比對不上，這隻代幣就當作沒有價值處理，不需要再花時間研究。
空投同授權釣魚：唔好去掂嗰啲幣
許多假代幣的真正目的並不是讓你以為自己發了財，而是引你進入下一步操作，這一步才是損失發生的地方。常見手法之一，是代幣名稱本身就是一個網址或一句訊息，例如寫著到某個網站領取獎勵，當你進入該網站並連接錢包，系統就會要求你簽署一次授權，簽下去之後，對方便可以在你完全不知情的情況下把你錢包內的其他資產轉走，包括你真正持有的穩定幣與主流幣。另一種手法是代幣可以買入卻不能賣出，或者在賣出時觸發合約內預設的條件，令你在嘗試兌換的過程中付出手續費卻甚麼都得不到。安全的處理方式很簡單：不要點擊、不要授權、不要嘗試兌換，讓它留在錢包內不動，它本身不會對你其他資產造成任何影響；部分錢包支援隱藏代幣，隱藏即可。同樣要提防的是，任何人以「幫你處理呢啲幣」、「解鎖資產」或「認證錢包」為名索取助記詞、私鑰或要求屏幕分享，正規平台與交易員在任何情況下都不會提出這類要求，收到即代表對方並非官方。
地址污染同零值轉賬：睇頭尾幾個字係唔夠
除了假代幣，另一種與陌生轉賬有關的手法是地址污染，目標是令你在下一次轉賬時複製錯地址。做法是先觀察你經常轉賬的對手地址，然後製造一個開頭與結尾幾個字元完全相同的地址，再向你發送一筆金額極小或零值的轉賬，令這個相似地址出現在你的交易紀錄內。當你日後想再轉一次，如果習慣從歷史紀錄中複製地址，就有很大機會複製了那個偽冒地址，而鏈上轉賬一經確認便不能撤回。防範方法是不要從交易紀錄複製收款地址，而是每次都從對方即時提供的正式渠道重新取得，並且核對整串地址而不只是頭尾幾個字元。大額轉賬前先以小額測試、確認到帳後才轉出餘額，是成本很低但非常有效的一步。
收款一方應該點驗收：睇資產，唔好淨係睇畫面
在任何一宗涉及收取加密貨幣的交易中，驗收的對象應該是鏈上的資產本身，而不是對方展示的畫面。首先要確認的是交易編號在區塊鏈瀏覽器上真實存在、狀態為已確認，而不是待處理或失敗，並且已經累積足夠的區塊確認數。其次要確認收款地址與網絡完全正確，以及代幣的合約地址與官方一致，這一步正是分辨真假 USDT 的關鍵。第三要確認金額與扣除手續費後的實收數量相符，而收款地址必須是你自己控制的錢包，不是任何第三方代收的地址。至於對方傳來的轉賬截圖、後台紀錄或所謂即將到帳的訊息，全部都不是憑證，因為畫面可以偽造，鏈上紀錄則可以由任何人獨立核對。在資產未確認到帳之前放出款項或貨物，是這類交易中最常見的損失原因。
香港用戶實務：面交核實、鏈包檢測同交收安排
在香港，涉及假代幣的個案往往集中在私下面交或群組中介的場景：雙方約在公眾地方見面，賣方看到手機畫面顯示收到 USDT 便交出現金，之後才發現收到的是同名的假代幣，而對方早已離開，亦沒有身份資料可以追查。要避開這一類風險，關鍵在於交易前先確認對手方是誰、有沒有固定辦公地址與可核實的營運紀錄，而不是單靠對方的自我介紹或群組推薦。透過正規服務商交易的分別在於程序：交易前會核實雙方身份、按報價確認成交條件，並對收到的資產做鏈包風險檢測，避免在不知情下接手來源不明或帶有風險標記的資產，交收則以銀行轉賬進行，每一步都留有紀錄，日後銀行查問資金來源時亦有憑證可依。CoinXTM 自 2013 年起在香港經營場外交易，支援逾 100 種加密貨幣，設有 KYC/AML 流程與鏈包風險檢測，辦公室位於香港上環永樂街 177-183 號永德商業中心 3 樓 305 室，最低交易額參考為 HK$50,000，客戶可親身到辦公室核實身份後交易。如對代幣真偽、合約地址核對或交收安排有疑問，可透過 WhatsApp（+852 6111 4060）聯絡交易員，或到 /quote 實時報價頁掌握市場水平。本文只作教育用途，不構成投資、法律或稅務意見。
常見問題
錢包顯示收到 USDT，點解仲要核對？可唔可以直接信個畫面？
不可以，因為錢包顯示的代幣名稱與圖示，來自代幣合約內由發行者自行填寫的參數，任何人都可以在公鏈上發行一隻代號同樣寫著 USDT、小數位數相同的代幣，成本極低而且不需要任何審批。錢包介面只是照樣顯示這些自訂資料，未被收錄進代幣清單的新代幣更加不會有任何警示，所以單看畫面幾乎分辨不到真假，對方傳來的截圖就更加不能作為憑證。唯一可靠的分辨方法是核對合約地址：在區塊鏈瀏覽器打開該筆轉賬，找出代幣的合約地址，與發行方官方公佈的地址逐個字元比對，並確認所在網絡正確，因為同一種穩定幣在 TRC20 與 ERC20 上的官方合約地址並不相同。核對官方資料時要自行輸入網址進入，不要點擊對方提供的連結或相信群組轉發的截圖。比對不上就當作沒有價值的代幣處理，不要嘗試兌換。
我錢包突然多咗啲唔知咩代幣，係咪代表被盜？應該點處理？
通常不代表你的錢包被入侵或私鑰外洩。公鏈是開放的，任何人只要知道你的地址就可以向你發送代幣，過程不需要你同意，而地址是公開資料，很容易被程式大量抓取，所以收到陌生代幣是相當普遍的現象。真正的風險不在於收到，而在於收到之後的動作：不少假代幣的名稱本身就是一個網址或領獎訊息，目的是引你進入某個網站連接錢包並簽署授權，一旦簽署，對方便可在你不知情下把錢包內其他資產轉走；亦有些代幣設計成可以買入但不能賣出。安全的處理方式是不點擊、不授權、不嘗試兌換，讓它留在錢包內不動，它本身不會影響你其他資產，部分錢包支援把代幣隱藏。同時要記住，任何人以協助處理、解鎖資產或認證錢包為名索取助記詞、私鑰或要求屏幕分享，都是騙案，正規平台與交易員不會有這類要求。另外建議定期檢查錢包已授出的合約權限，取消不再需要的授權。
面交收 USDT 之前，應該逐項確認啲乜？
驗收的對象應該是鏈上的資產，而不是對方展示的畫面，建議按次序逐項確認。第一，交易編號在區塊鏈瀏覽器上真實存在，狀態為已確認而不是待處理或失敗，並已累積足夠的區塊確認數。第二，收款地址與網絡完全正確，而該地址必須是你自己控制的錢包，不是任何第三方代收的地址。第三，代幣的合約地址與官方公佈的一致，這一步是分辨真假 USDT 的關鍵，不能只看名稱。第四，實收金額在扣除手續費後與議定數量相符。在以上各項全部確認之前，不應該交出現金、貨物或放出任何款項，因為鏈上轉賬一經確認便不能撤回，而私下面交通常沒有對手方的可核實身份資料，事後追討非常困難。若涉及較大金額，較穩妥的做法是選擇有固定辦公地址、設有身份核實與鏈包風險檢測程序、並以銀行轉賬交收的服務商，讓每一步都留有紀錄。
