Phantom 钱包安全吗？
Phantom 是一款被广泛使用的自托管钱包，具备交易预览、恶意网站警告、Ledger 支持、第三方审计和漏洞赏金计划，公开报道显示其自身系统从未发生过导致用户钱包被盗的入侵事件。大多数丢失资金的 Phantom 用户，是因为假冒的 Phantom 应用和网站、假客服、盗币网站、地址投毒以及助记词泄露。它有多安全，很大程度上取决于你如何使用它。
“安全”包含两个方面：钱包软件能否保护你的密钥，以及你能否避开针对其用户的骗局。Phantom 在第一方面表现不错。而几乎所有损失都发生在第二方面。本页将结合注明日期的事实对两者进行介绍。Ghostlight Guide 是独立的，不接受 Phantom 的报酬。
Phantom 如何保护你的资金
密钥由你掌握
Phantom 是自托管钱包。你的助记词和私钥在你的设备上生成，并受你的密码保护。Phantom 不保管你的资金，也无法转移它们。反过来说，也没有任何人能撤回你签署的交易，或恢复你丢失的助记词。
交易预览与警告
在你签名之前，Phantom 会模拟交易并显示预期的余额变化。它还会将网站与恶意域名黑名单进行比对。Phantom 的开发者文档列出了诸如 This dApp could be malicious. Do not proceed unless you are certain it is safe.（此 dApp 可能是恶意的。除非你确定它是安全的，否则请勿继续。）和 This domain is new or has not been reviewed yet. Proceed with caution.（此域名是新的或尚未经过审查。请谨慎操作。）之类的警告。如果你看到第一条警告，请立即停止。参阅 Phantom 恶意 dapp 警告详解。
2024 年 11 月，Phantom 收购了为其交易预览提供技术的公司 Blowfish。Phantom 称 Blowfish 已阻止 280 万起诈骗并扫描了 13 亿笔交易（Phantom 博客）。请把它当作一张安全网，而不是保证：新的盗币网站每天都在出现，如果你交出了助记词，预览也无法保护你。
硬件钱包支持
你可以将 Ledger 连接到 Phantom 扩展或手机应用。这样交易需要在设备上进行实体确认，你电脑上的恶意软件无法自行转移资金。参阅 Phantom 搭配 Ledger 使用。
垃圾信息过滤
Phantom 会隐藏许多垃圾代币和 NFT，并允许你举报和销毁不需要的 NFT。诈骗空投是引诱人们访问盗币网站的常见手段，因此切勿访问印在你意料之外的代币或 NFT 上的链接。
审计、漏洞赏金与开源
Phantom 的钱包应用不开源，所以你无法自己检查代码。Phantom 转而依赖外部审查。Least Authority 于 2024 年 6 月发布了对 Phantom 手机和扩展代码的最终审计报告。Phantom 在 Cantina 上运行公开的漏洞赏金计划，自 2026 年 7 月 1 日起上线，严重问题最高奖励 100,000 美元（Cantina，2026）。其恶意域名黑名单在 GitHub 上公开。
2025 年 1 月，一名安全研究人员就一份未公开的漏洞报告公开批评 Phantom。Phantom 为沟通迟缓道歉，并表示该问题没有使资金面临风险；未公布任何技术细节（CryptoSlate，2025）。
安全记录
| 日期 | 事件 | 结果 |
|---|---|---|
| 2022 年 6 月 | Halborn 披露“Demonic”漏洞：浏览器会话恢复功能可能会将助记词存储在磁盘上，影响包括 Phantom 在内的多款钱包 | 需要能接触到电脑；无被利用报告；Phantom 已提前修复（Halborn；CoinDesk，2022） |
| 2022 年 8 月 | 约 400 万美元从 9,230 个 Solana 钱包中被盗 | 追溯到 Slope 钱包；Phantom 未发现其系统遭到入侵（The Block，2022） |
| 2024 年 6 月 | 其他开发者发布的假冒“Phantom”应用通过 App Store 搜索广告推广；一名受害者称损失超过 100,000 美元 | 属于冒充行为，并非 Phantom 的缺陷（CryptoSlate，2024） |
| 2024 年 11 月 | iOS 更新导致应用重置 | 没有备份助记词的用户在恢复前无法访问钱包（The Block，2024） |
| 2025 年 2 月 | 虚假的“更新扩展”请求和索要助记词的假冒 Phantom 弹窗（Scam Sniffer） | 针对用户的钓鱼攻击（Cointelegraph，2025） |
| 2025 年 4 月 | 一起诉讼在超过 50 万美元代币被盗后指控存在密钥处理缺陷 | Phantom 称：“entirely without merit”（完全没有依据）；未找到判决（Decrypt，2025） |
| 2026 年 2 月 | 调查员 ZachXBT 将一起地址投毒事件与 Phantom 的内置聊天联系起来；一名受害者损失约 264,000 美元的 wBTC | 地址投毒是诱骗你把资产转到仿冒地址；它不会泄露密钥（Cointelegraph，2026） |
| 2026 年 4 月 6 日 | 服务中断，显示错误的价格和余额 | 当晚恢复；Phantom 表示资金未受影响（The Block，2026） |
包括其他服务中断在内的完整列表见 Phantom 安全历史。服务中断可能会让你暂时无法交易，这对活跃交易者来说很重要，但它与资金被盗不是一回事。2024 年 11 月的 iOS 重置事件说明，即使没有任何资产被盗，书面备份助记词也非常重要。
Phantom 用户实际上是如何丢失资金的
- 假冒下载。扩展或应用的仿冒版本，常见于搜索广告或免费托管网站上的“官方下载”页面，你一输入助记词就会被窃取。
- 假客服。Phantom 没有电话热线，Phantom 也表示其客服永远不会主动联系你。假电话和聊天窗口会要求你用助记词“验证（verify）”或“同步（sync）”钱包。参阅 Phantom 客服电话骗局。
- 盗币网站。虚假空投、铸造和代币领取页面会要求你签署一笔把所有资产转给攻击者的交易。
- 假冒弹窗。在浏览器标签页内模仿 Phantom 窗口并索要助记词的网页。
- 地址投毒。来自仿冒地址的小额转账或聊天消息，诱使你复制错误的地址。
- 助记词泄露。照片、云笔记、被攻破的密码管理器，或把助记词告诉了“帮忙”的人。
以上所有情况在假冒 Phantom 骗局中都有示例说明。
防止大多数损失的规则
- Phantom 永远不会索要你的助记词。无论是更新、验证、同步、解锁还是领取任何东西。唯一可以输入助记词的地方，是在真正的 Phantom 应用中恢复钱包时。
- 只从官方渠道获取 Phantom。输入 phantom.com 或使用书签。用我们的下载检查工具核对扩展 ID 或应用页面。
- 离线保管助记词。写在纸上或刻在金属板上，绝不截图、发邮件或存入云笔记。
- 使用两个钱包。一个存放少量资金的“热”钱包，用于尝试新应用和铸造；另一个独立钱包（最好搭配 Ledger）用于存放储蓄，绝不连接未知网站。
- 签名前先阅读。如果 Phantom 显示警告、无法模拟交易，或预览显示转出的资产比你预期的多，请拒绝。我们的签名解读工具可以帮助你理解登录消息和 EVM 授权。
- 完整核对地址。从收款方或你的地址簿中复制地址，而不是从活动记录或聊天中复制。我们的地址检查工具可以比对两个地址。
- 保持 Phantom 为最新版本，且只通过 Chrome 应用商店、App Store 或 Google Play 更新。要求你输入助记词来“更新”的弹窗都是假的。
如何辨别真假 Phantom 窗口
安全公司 Scam Sniffer 在 2025 年 2 月建议了以下检查方法（Cointelegraph，2025）：
- 真正的扩展弹窗是一个独立窗口，其地址以
chrome-extension://开头。假冒弹窗则是画在网页内部的。 - 真正的弹窗可以像其他窗口一样移动、最小化和调整大小。假冒弹窗被困在浏览器标签页内。
- 钓鱼页面通常会禁用右键点击；真正的 Phantom 窗口不会。
Phantom 比交易所更安全吗？
这是另一种类型的风险。在交易所，公司可能被黑客攻击、冻结你的账户或倒闭，但它也能重置密码，有时还能撤回错误操作。使用 Phantom 时，你和你的资金之间没有任何公司：不会被冻结，但也无法撤销。许多人把交易用的资金放在交易所，把长期持有的资产放在搭配硬件钱包的自托管钱包中。
关于名称的说明
Fantom（现更名为 Sonic）是另一个独立的加密项目。关于“Fantom wallet”的安全测评说的不是 Phantom，Phantom 也不支持它。
如果已经出了问题
如果你曾在某个网站或应用中输入过助记词，或签署了你不理解的内容，请立即行动：按照Phantom 钱包被盗后该怎么办进行操作。不要联系任何声称收费帮你找回资金的人；他们同样是骗子。
常见问题
Phantom 会盗走我的加密资产吗？
Phantom 是自托管钱包：你的密钥在你的设备上生成和存储。Phantom 表示它永远不会索要你的助记词。它的应用不开源，所以你只能依赖审计和 Phantom 的声誉，这也是许多人把大额资产存放在硬件钱包中的原因之一。
在手机上使用 Phantom 安全吗？
安全，前提是你安装的是正版应用（App Store 应用 ID 1598432977，Google Play 包名 app.phantom）并保持手机系统更新。两个应用商店中都出现过仿冒应用，所以安装前请核对开发者。
Phantom 有保险吗？
没有。自托管钱包中的加密资产不受保险保障，如果你被骗签署了交易，没有人能撤回它。Phantom Cash 资金同样不受 FDIC 保险保障。
把 Phantom 连接到网站安全吗？
连接只会共享你的公开地址。风险在于你签署交易或消息的时候。只连接你自己访问的网站，阅读 Phantom 的预览，看到任何红色警告就停止。
Phantom 受到 Slope 被黑事件的影响了吗？
没有。2022 年 8 月的 Solana 钱包盗币事件被追溯到 Slope 钱包。Phantom 表示没有发现其系统遭到入侵的证据。
我应该搭配 Ledger 使用 Phantom 吗？
对于你承受不起损失的金额，应该。Ledger 让密钥远离你的电脑和手机，并且每笔交易都需要实体确认。