貔貅盤：買得進、賣不掉，錢卡在那張合約裡

先把一件事分清楚，因為它決定你接下來該做什麼：幣價跌了，跟你賣不掉，是兩件完全不同的事。前者你只是虧錢，資產還在你手上、隨時能處理；後者是你的資產被鎖在一張別人寫的合約裡，虧多少已經不重要了，因為那個數字根本兌現不了。

它不是「跌了」，是你根本按不下賣出

貔貅盤的體驗通常是這樣的：你在某個去中心化交易所買進一個沒聽過的代幣，成交很順，錢包裡餘額也出現了。過一陣子價格漲了不少，你想獲利了結，按下賣出——交易失敗。你換個介面試、調高滑點、加大手續費，還是失敗。

這時候多數人的第一反應是「是不是我操作錯了」，於是花更多時間去研究介面。真正的答案在別的地方：那張代幣合約裡寫著，你這個地址不准把幣轉出去。你的錢包沒壞、網路沒問題、滑點也不是原因，是規則本身不允許。

合約可以用哪幾種方式把賣出關掉

你不必看得懂程式碼，但知道它有哪幾種關法，你才知道要去查什麼。常見的有這幾類：

• 白名單。合約裡記著一份地址名單，只有名單上的地址能把幣轉出去。你不在名單上，賣出交易就不成立。這份名單通常由部署者控制，而且不會公開。
• 交易開關。合約留了一個由擁有者控制的開關，關掉之後所有人都轉不出去；要放誰出去、什麼時候放，由他決定。
• 黑名單。反過來做：平常大家都能賣，但擁有者可以把特定地址加進黑名單，被加進去的人從此賣不掉。這種特別陰，因為別人賣得掉，只有你不行。
• 把賣出稅率拉到極高。技術上你賣得出去，但賣出時被抽走的比例高到接近全部，等於沒賣。而稅率往往是可以由擁有者事後調整的。

把這四種擺在一起，共同點很清楚：它們全都依賴「合約的控制權還在對方手上」。所以真正該問的問題不是「這個合約現在有沒有問題」，而是「他之後還能不能改」。

最難防的那一種：現在能賣，過一陣子就不能

如果貔貅盤只有上面那幾種，防起來還算單純：買之前找工具模擬一次賣出就好。真正麻煩的是被稱為「延時貔貅」的做法——合約在一開始完全正常，賣得出去，過了某個條件之後才把賣出關掉。

條件可以是區塊高度。鏈文與鉅亨的技術拆解裡舉的寫法，是在轉帳函式裡加一道 require(block.number < _allowance) 之類的限制：鏈上區塊數還沒到那個門檻時一切正常，到了之後，轉出就再也不成立。也可以是交易筆數，累積到某個數量才翻臉。

這種做法為什麼難防，同一篇拆解講得很直接：這類合約在安全檢測工具檢查時，如果工具沒有針對性的判斷邏輯，初始狀態下看起來都能正常交易。也就是說，它是衝著「你會先查一下再買」這個習慣設計的。

按這個順序查，多數情況第二步就結束了

下面四件事都在區塊瀏覽器上做，不必連錢包、不必付 gas。別跳著看，第二條的殺傷力遠大於其他三條，先做完它，通常就不必往下走了。買之前還有更前面的一步：確認你買的是不是同一個合約，合約地址該從哪裡抄另有一篇。

1. 合約有沒有開源。在區塊瀏覽器上打開這個代幣的合約地址，看程式碼是不是已驗證公開。閉源的直接跳過——不是因為閉源一定有鬼，而是你連檢查的機會都沒有，沒必要用自己的錢去賭。但反過來不成立：開源不等於安全。上一節那種靠區塊高度限制的寫法，完全可以大大方方寫在開源程式碼裡，你不逐行讀就是不會看到。
2. 翻交易紀錄，找「有沒有普通地址成功賣出過」。這是整篇最實用的一條，而且不需要你懂程式。打開這個代幣的轉帳紀錄，看買和賣的比例：如果幾乎清一色是買進、賣出寥寥無幾甚至掛零，那就是它。再進一步：那少數幾筆賣出，是不是都來自同幾個地址（很可能就是部署者和他的白名單）？一個健康的代幣，會有各式各樣互不相干的地址在賣。
3. 看控制權還在不在部署者手上。合約有沒有擁有者、擁有者能不能改稅率、能不能加黑名單、能不能開關交易。這些欄位在區塊瀏覽器的合約頁上通常讀得到。只要這些權限還在，前面所有檢查的結論都只對「現在」有效。
4. 核對合約地址本身。仿盤會直接沿用知名項目的名稱與圖示，做一個同名代幣出來，你在介面上看到的名字一模一樣。唯一能分辨的是合約地址，要從你信任的來源取得，不要從別人傳給你的連結或截圖裡複製。

檢測工具能告訴你什麼、不能告訴你什麼

市面上有些工具會替你模擬一次買進再賣出，回報這個代幣能不能賣。這類工具有用，但你得知道它的邊界，否則會比沒用還危險，因為它給你的是一種「我查過了」的安心感。

• 它查的是當下。模擬成功只代表這一刻賣得出去。延時貔貅、以及擁有者事後調稅率或加黑名單，它都預測不了。
• 它不是官方，也不是本站背書。要不要信任某個工具是你自己的判斷。知名工具也常被做仿冒站，網址要自己確認，別點來路不明的連結，可以用假域名比對器先比一比。
• 它擋不住「那不是你以為的那個代幣」。同名仿盤要靠合約地址分辨，不是靠模擬結果。

把它當成放大鏡，不是保險箱——這句話跟我們在錢包授權自查與撤銷指南裡講第三方撤銷工具時，是同一個意思。

為什麼受害者發現不對還會再買

技術講完了。但決定多數人賠多少的，往往不是他懂不懂合約。

動區授權轉載的一份 Beosin 分析裡記了一個現場：安全團隊正在分析一個仿冒某知名項目的疑似詐騙代幣時，看到一位已經在裡面的使用者又追加買進，因為價格看起來漲得很好。分析的人說「感覺他還要買」，話沒說完，那個人又下手了。那份分析（2023 年 5 月的案例）同時指出，該合約的白名單狀態未公開、開關與名單都由擁有者控制，一般使用者在預設狀態下賣不出去。

這個畫面值得記住，因為它說明貔貅盤真正的殺傷力不在技術，在於它讓你看到的每一個訊號都在鼓勵你加碼：價格漲、有人在買、群裡氣氛熱。等你發現賣不掉時，你已經不是在做判斷，而是在找理由——「應該是我操作錯了」「再等等說不定就通了」「不然再買一點攤平」。

發現賣不掉的那一刻，該做的是停手，不是加碼。

如果你正在說服自己再買一點，先把那筆錢放著，去做上面第 2 條檢查：翻紀錄，看有沒有跟你無關的普通地址賣得出去。這件事不用花錢，也不用問任何人。

常見問題

我買之前有用貔貅檢測工具查過，顯示正常，為什麼還是賣不掉？

因為那類工具查的是「現在這一刻能不能賣」，不是「以後能不能賣」。延時貔貅就是專門繞過這種檢查的：合約在一開始完全正常，等區塊高度到了某個數字、或交易筆數累積到某個門檻，賣出才被關掉。檢測工具在前期跑，看到的當然是正常。同理，如果控制權還在對方手上，他也可以在你查完之後才把稅率調到極高、把你的地址加進黑名單。所以查過等於「當下沒問題」，不等於「這筆錢安全」。

合約是開源的、在區塊瀏覽器上看得到程式碼，是不是就安全？

不是。開源只代表你「看得到」，不代表「看得懂」，更不代表裡面沒有問題。延時貔貅那種靠區塊高度限制的寫法，本來就可以大大方方寫在開源程式碼裡，你不逐行讀，根本不會注意到那一行。開源是必要條件不是充分條件：閉源的可以直接跳過，開源的還是要看有沒有人真的賣得出去。

我看到價格一直漲，成交也很熱絡，這樣還會是貔貅盤嗎？

會，而且那正是它想給你看的樣子。只買得進、賣不掉的幣，價格當然只漲不跌——沒有賣壓。至於「成交熱絡」，做局的人可以自己在白名單地址之間來回買賣、把代幣分散到不同地址，製造很多人參與的假象。所以熱度和漲幅都不能當判據，能當判據的只有一件事：有沒有普通地址真的賣出成功過。

已經買進去了，還有機會把錢拿回來嗎？

多數情況沒有。你的代幣還在錢包裡、餘額也看得到，但賣出這個動作被合約擋住，鏈上沒有任何撤銷機制能替你放行。少數情況是對方把開關打開一段時間（通常是為了讓價格繼續有人接），這時候可能賣得掉，但那也是對方決定的，不是你能控制的。所以真正該花力氣的地方是買之前，不是買之後。

那我該怎麼做才安全？

最誠實的答案是：這一類代幣沒有「怎麼查就安全」的做法。你能做的是把風險壓低：別碰閉源合約、翻交易紀錄確認有普通地址賣得出去、看控制權有沒有還在部署者手上、投入金額當成可以全部歸零。如果你發現自己在說「我再買一點攤平」，那已經不是判斷問題了，是前面那個受害者做過的同一個動作。