假兑换站、假客服、假空投：三类钓鱼的实测识别清单
2026-10-26 实测：本站域名的 28 个近似变体里 7 个有 DNS 应答、21 个 NXDOMAIN；逐个查证书日期、CT 记录、NS 与邮件策略，写下真正能分出真站与仿站的 90 秒流程。
先做一次测量。 2026-10-26 06:01–06:05 UTC，我们把本站域名拆成 28 个近似变体：换后缀、加连字符、换字母顺序、叠字母，还有经典的 `veilswap.io.co` 后缀把戏。然后直接问 DNS 谁活着。7 个有应答：veilswap.com、veilswap.co、veilswap.app、veilswap.finance、veilswap.xyz、veilswap.cc、veilswap.trade；21 个返回 NXDOMAIN，包括 veilswap.org、veilswap.net、veil-swap.io、veilswep.io。7 个里 4 个在 8 秒内连 TLS 握手都完不成，1 个返回 HTTP 404，1 个 302 跳到域名经纪站，1 个只是建站器的占位页，标题写着「Veil Swap」。那天早上，没有一个在提供兑换表单。
挂锁不是身份。 域名验证型证书免费、几分钟就能签出来，所以那个锁只证明一件事：在 443 端口应答的人，持有你输入的这个名字的证书。本站域名只有 40 天：WHOIS 创建时间 2026-09-16T10:30:26Z，注册商 GoDaddy，到期 2027-09-16。线上证书由 Google Trust Services WE1 签发，有效期 2026-09-16T10:02:48Z 至 2026-12-15T11:00:26Z，覆盖 veilswap.io 与 *.veilswap.io。证书透明日志里这个名字有 5 条记录、跨 4 家 CA：Google Trust Services、Let's Encrypt（三次独立签发）、Cloudflare 的 TLS Issuing ECC CA 4。五条里四条覆盖 veilswap.io、www.veilswap.io 或通配符；第五条只覆盖一个今天已不解析的子域。最后这条最有用：CT 会记下没人对外宣布过的名字，而它是唯一公开、只追加的「谁为这个名字拿到过证书」的清单。
90 秒四项检查。 四条命令，不需要信任任何人。`whois veilswap.io` 看创建日期——本站是写稿前 40 天。`openssl s_client -connect veilswap.io:443 -servername veilswap.io | openssl x509 -noout -issuer -dates -ext subjectAltName` 看签发者、有效期与覆盖名——本站是 GTS WE1、2026-09-16 到 2026-12-15。CT 查询看历史——40 天里 5 条记录是新域名的样子，一条昨天的记录是仿站的样子。`dig NS veilswap.io` 看权威服务器——本站是 arch.ns.cloudflare.com 与 imani.ns.cloudflare.com，邮件走 route1-3.mx.cloudflare.net。仿站可以一个下午抄走页面、文案和响应头；它抄不走日期、CT 历史和那对 NS，除非它真的控制了这个名字。
那 7 个到底是什么。 veilswap.com 注册于 2026-05-17，现在挂在 NameBright 的 NS 上，HTTP 302 跳到 hugedomains.com——这名字在出售。veilswap.co 与 veilswap.trade 挂在 GoDaddy 的 NS 上，TLS 握手始终没完成。veilswap.app 跑在 Vercel 上，证书是 2026-09-20 签的 Let's Encrypt，返回 404。veilswap.finance 被注册商停用了：它的 NS 直接叫 verify-contact-details.namecheap.com 和 failed-whois-verification.namecheap.com。veilswap.cc 注册于 2026-10-04，唯一的 NS 是一个 Railway 主机，证书日期 2026-09-27——比它自己的注册记录早七天，因为证书属于那台主机，不属于这个名字。veilswap.xyz 注册于 2026-05-23，是 GoDaddy 建站器的占位页，标题「Veil Swap」。我不指认其中任何一个在诈骗：我看不到意图，停放域名也不犯法。更窄的结论已经够了——能解析的名字什么也证明不了，而这七个用七种方式证明了这一点。
看起来是字母，其实不是。 veilswap.io 是 11 个字符。把 a 换成西里尔字母 а（U+0430），多数字体里渲染完全一样，DNS 看到的是 xn--veilswp-7fg.io。把 i 换成西里尔 і（U+0456）：xn--velswap-sog.io。把西里尔 і 放进顶级域：veilswap.xn--o-evb。浏览器只在一个标签混用字符集时才显示 punycode 前缀，其余时候它把假话原样给你看。子域版本更便宜：support.veilswap.io.evil.example 是 evil.example 下的主机，而在手机上，URL 的右端通常正是被截断的那一截。规则只有一句：从第一个单斜杠往前读域名，见到 xn-- 就当红灯。
没有人会先来找你。 本站只有一个支持渠道：发邮件到 [email protected]，与条款页、隐私页公布的是同一个地址。没有 Telegram 客服台、没有 Discord、没有「我在数据库里查到你的订单号」的客服。别信显示名，去看邮件头：SPF 是 v=spf1 include:_spf.resend.co ~all，DMARC 是 p=none，报告发到 [email protected]。那个 p=none 是真实弱点，我不粉饰——它要求收件方监控而不是拒收，所以伪造的 From: 仍然可能进你的收件箱。域名目前也没有 CAA 记录，意味着任何 CA 都能为它签发证书。两条都在待修清单上。在改完之前，唯一可靠的检查是你被要求点击的那个链接的域名。
空投要的，是钱包绝不必交出的东西。 助记词就是钱包本身，不是密码：拿到那 12 或 24 个词的人就拥有余额，而没有任何服务需要它才能给你发代币。本站的下单表单同理——只要兑出地址、可选的退款地址，别的都不要：不要邮箱、不要密码、不要助记词。入金地址按单生成，只在你建单之后出现在订单页；所以通过私信、评论区、视频简介发来的地址不是本站的地址，旁边挂什么 logo 都一样。代币授权是同一个套路的另一半：给未知合约一个无限额度，它以后可以在没有你再次签名的情况下搬走余额——所以「授权」那个弹窗值得和助记词弹窗同等的怀疑。 (转错网络如何找回)
清单。（1）手输域名，永远不要点链接过去。（2）证书日期要以周计，不是以小时计：本站证书比注册记录早 28 分钟签发，那是上线该有的样子；仿站常常只有几小时。（3）去 CT 搜这个名字，一条昨天的记录就是一天的历史。（4）看 NS，共享主机上的仿站很少对得上。（5）任何消息里带来的入金地址都不要用。（6）发送前把地址前六位和后六位与订单页逐个对，中间交给校验和。如果已经发出去了：交易几秒内就终局，没有拒付，唯一还剩的补救是——那个地址是某家交易所的充值地址，你可以请它冻结。
诚实的边界。 这是某天早上一家名字的 28 个变体；同形字空间实际上无穷，注册商每天都在加名字。证书透明日志能证明「存在过一张证书」，不能证明谁申请、为什么申请。域名年龄是双刃剑——本站只有 40 天，所以「老域名」这条信任标准同样会否掉我们自己，我宁愿写下来也不装。所有这些之后仍然成立的，是一个三段式习惯：验证传输（证书日期、CT 历史、NS）、验证渠道（只有邮件、不会先联系你）、验证目的地（订单页、校验和、前后六位）。这个习惯花 90 秒。省掉它，代价就是你粘贴出去的那一笔：今天 06:03 UTC，100 USDT-TRC20 报 0.14928856 XMR（隐含 669.84 USDT/XMR，现货 588.09），而它一分都不会回来。 (XMR 换 USDT 退出路线)