Unphishable ：专注于 Web3 钓鱼攻击模拟的教育平台

图：Unphishable 官网首页，主打 Web3 钓鱼攻击模拟演练（2026-11 截图）

Unphishable 是一个在浏览器里玩的 Web3 防钓鱼演练平台。它不讲课，而是把真实发生过的钓鱼手法做成一关一关的模拟场景：假空投页面、冒充客服的对话、诱导输入助记词的邮件、仿冒的会议软件下载页。用户要在场景里找出破绽、做出正确处置，过关的过程就是练习识别的过程。平台由慢雾（SlowMist）、DeFiHackLabs 和 Scam Sniffer 三家安全机构在 2025 年 7 月 1 日联合推出，自我定位是公共物品（Public Good），全部关卡免费开放。

定位与基本信息

官网地址 unphishable.io，打开网页即可开始，不需要安装软件，也不需要连接真实钱包资产。站内关卡按编号排列，分为初级（Beginner）、中级（Intermediate）、高级（Advanced）三档，截至 2026 年 11 月核查时共 37 关（编号 0x0001 至 0x0037）。界面提供英文、繁体中文、简体中文三种语言。站点设有排行榜（Leaderboard），首页有挑战入口和关于页面，关卡代码在 GitHub 上以 DeFiHackLabs/Unphishable 仓库公开，社区可以通过提交 Issue 的方式贡献新关卡。

需要先分清它和防护工具的区别：Unphishable 不拦网站、不查合约、不弹警告，它只做一件事——让你在假场景里先上一次当，再告诉你当是怎么上的。理由是这类损失大多不发生在技术层面，而是发生在用户点下「确认」的那一秒：域名多一个字母、客服催得急、页面做得和真的一样。把这些场景提前演练一遍，就是这个平台的全部价值。站内介绍页把它归入风险控制与加密资产安全类目，这个定位是准确的。

平台背景

推出方是三家在 Web3 安全一线工作的机构。慢雾成立于 2018 年，做区块链安全审计与被盗资金追踪，其发布的被盗事件数据库在行业内常被引用；Scam Sniffer 是做链上钓鱼监测的团队，长期发布钓鱼地址与诈骗站点的监测数据；DeFiHackLabs 是偏研究与教育的安全社区，核心成员 SunSec 等人此前就在做 Web3 安全科普。三方在 2025 年 7 月 1 日正式上线 Unphishable，上线首周即有 184 名参与者、64 人全关卡通关（DeFiHackLabs 官方公告数据）。项目还获得过以太坊基金会 ESP（Ecosystem Support Program）的资助，列在基金会 2025 年第二季度资助名单中。它的出发点很明确：钓鱼是 Web3 用户丢币最常见的原因，而多数人只有在真正被骗之后才第一次见到这些手法，平台想把这个顺序倒过来。

核心服务与功能

• 分级关卡演练：37 关按难度递进，初级从钱包安全设置、助记词恢复骗局、钓鱼邮件识别开始；中级进入假登录页、同形异义域名（Punycode）网址、剪贴板劫持等场景；高级涉及恶意智能合约与真实事件改编的复杂攻击链，如恶意开源项目投毒。
• 场景内即时讲解：每关不只判对错，还会把场景中的钓鱼指标逐条拆开说明。以假冒 Microsoft Teams 会议页一关为例，页面会指出仿冒域名与官方域名的差别、假页面缺失的安全元素、醒目按钮背后的恶意下载，并给出对应的安全提示。
• 测试网实操环节：涉及钱包签名的关卡使用 MetaMask 测试网完成，练习授权、签名识别时不会触碰主网真实资产。
• 排行榜与通关记录：关卡页显示已完成人数（例如假 Teams 一关页面标注有 475 人完成），首页排行榜汇总参与者的通关进度。
• 社区共建关卡：关卡持续根据新出现的真实攻击手法更新，2025 年内就新增了假 Zoom 会议钓鱼等取材于当期高发事件的关卡；外部贡献者可通过 GitHub 提交新关卡提案。
• 按攻击类型覆盖齐全：从关卡主题清单看，覆盖了钓鱼邮件、假登录页、假空投、助记词与恢复短语骗局、剪贴板劫持、同形异义域名、假钱包连接、社交工程私信、恶意合约识别、假会议软件分发恶意程序等主要类型，基本对应监测机构日常通报的高发类别，不是零散拼凑的题目。

使用方式

打开官网点 Start Challenge 进入关卡列表，从初级第一关开始顺序推进，后续关卡需要先完成前置关卡才能解锁。每一关给出一个具体场景：可能是一封邮件、一个网页、一段聊天记录或一次钱包操作，用户需要阅读场景、找出可疑点，并按提示完成判断或操作。卡住时可以回看该关拆解的钓鱼指标说明。涉及钱包交互的关卡，按页面指引切换到 MetaMask 测试网再操作，全程不需要充值或准备真实资产。整个过程在浏览器内完成，单关耗时通常几分钟，适合碎片时间逐关推进。

图：Unphishable 关卡页（仿冒 Teams 会议钓鱼模拟），页面逐条拆解钓鱼指标（2026-11 截图）

适用人群

• 刚入圈的新手：还没被钓鱼手法「教育」过，先在模拟环境里见一遍助记词骗局和假空投，比事后补救便宜得多。
• 高频链上用户：常点空投链接、常做授权签名的 DeFi 用户，可以用中高级关卡查漏补缺，尤其是授权陷阱与恶意合约类题目。
• NFT 与社群活跃用户：社交工程类关卡针对冒充客服、冒充项目方私信等常见话术。
• 团队与社群组织者：可以把平台当作现成的安全培训材料，组织成员统一通关初级关卡，比自己编写教材省事。
• 钱包与项目方运营人员：日常要对外发布链接、公告的人，最容易被冒充也最经不起一次失误，用中级关卡复习域名与页面真伪的核查要点很对口。

免费与付费对照

平台没有付费档。官网与关于页面均明确其为 Public Good、对所有人免费，37 关全部开放，不设会员、不卖课程，也没有按关卡收费的机制。它的成本由推出方与资助方承担（以太坊基金会 ESP 曾提供资助）。用户侧唯一的「成本」是时间，以及个别关卡需要安装 MetaMask 并切换到测试网。凡是在站外看到以 Unphishable 名义收费的课程或代练，都不是官方行为。

图：Unphishable 挑战列表页，37 关按初级、中级、高级分组排列（2026-11 截图）

优缺点

优点：

• 取材真实：关卡直接改编自监测机构日常处理的钓鱼事件，手法与当下高发骗局同步，不是凭空编题。
• 讲解到位：每关把钓鱼指标逐条列明，用户错了也知道错在哪，而不是只给一个分数。
• 零成本零风险：全免费、浏览器内运行、钱包环节只用测试网，不存在练手练丢币的可能。
• 维护方专业对口：慢雾与 Scam Sniffer 本身做钓鱼监测，关卡更新跟得上新手法，上线后数月内仍有新增关卡。

缺点：

• 只练识别、不做防护：平台不提供浏览器拦截、签名预警等实时保护，学完仍需另行配置防护工具。
• 通关不等于免疫：演练场景是收敛的，真实钓鱼会叠加时间压力与社交话术，平台成绩不能直接换算成实战水平。
• 部分关卡依赖顺序解锁与外部工具（如 MetaMask），纯小白在第一关的钱包设置环节可能需要额外摸索。
• 排行榜数据时有空缺，激励机制偏弱，学完一轮后缺少持续回访的理由。

同类竞品对比

三者不冲突：Unphishable 解决「认不认识」的问题，另外两个解决「当场拦不拦得住」的问题，实际使用中可以叠加。

注意事项与风险

• 认准官方域名：只通过 unphishable.io 访问。安全教育站本身就是仿冒的好目标，搜索引擎广告位或陌生人发来的「同名」链接可能是真钓鱼。
• 演练中也不要输入真实助记词：任何关卡都不需要、也不会要求你输入真实钱包的助记词或私钥；凡是索要的，立即停下来，那已经不是演练。
• 不要据此放松其他防护：通关记录不构成任何安全保证，大额资产仍应使用硬件钱包、独立浏览器环境与实时预警工具。
• 关卡内容有时效性：攻击手法演变很快，数月前的关卡未必覆盖最新骗局，建议把平台当作入门与定期复习，而非一次性终点。