仿冒前端与假官网：DeFi 入口的四层核验

DeFi 的界面越来越像普通网站：域名、登录态、加载动画、客服入口。也正因为越来越像，它的攻击面也和普通网站收敛到了一起——仿冒前端。这篇文章只讲防御：在把地址、签名和资金交给一个 DApp 页面之前，可以怎么做真实性核验。

先明确威胁模型。DeFi 合约本身大多数时候没有被攻击，被攻击的是人与合约之间那层网页：一个字节几乎一样的克隆页面，配上相似域名、搜索引擎广告位或社交媒体转链，受害者从自己以为的官方入口进去，实际签名请求发给了攻击者准备的合约。这类攻击不需要漏洞，只需要你少看一眼地址。理解了这一点，核验的重点就不在”页面看起来真不真”——克隆页面永远看起来真——而在把入口从”链接”换成”标识”。

可执行的核验分四层。第一层是入口本身：不用搜索引擎结果和群聊短链进入协议，把官网域名从项目自己的 GitHub 组织页、官方文档站或审计报告里抄一次，之后只从书签进；相似拼写、多一个连字符、把数字换成字母的域名，一律按钓鱼处理。第二层是合约地址：页面加载后，与其争论域名真伪，不如直接核对这笔交互要写的合约地址——把页面显示的待交互地址与协议文档中公布的部署地址表逐一比对，对不上就停手，这是唯一无法克隆的一层，因为链上地址全宇宙唯一。第三层是授权内容：真前端也可能被注入（依赖包投毒、CDN 劫持这类事故真实发生过），所以永远读一遍签名弹窗：调用的合约是不是刚才核对过的那个，授权数量是不是刚好覆盖这笔操作，“无限授权”和”永久有效”的组合要格外警惕。第四层是小额试笔：大额进入任何协议前，用一笔小钱走完存取全程，确认能按文档描述的路径原路退出。

两个常见误区值得单独说。一是”HTTPS 和小锁图标代表安全”——它只证明传输加密，不证明对面是谁，钓鱼站早已普及证书。二是”我在 X 上关注的官方账号发的链接一定安全”——账号会被盗、会被仿冒、发链接的人也可能只是转发了盗来的页面，账号信任不能替代地址核验。另一个容易被忽视的软信号是时间：协议升级域名或界面大改版通常会提前在文档和状态页公告，没有任何公告的”官方新域名”基本可以直接判死刑。

再补一层容易被忽视的供应链视角：真实域名、正确书签并不防前端投毒。协议前端是普通网页，网页有第三方依赖——统计脚本、字体、支付组件、内容分发网络，历史事故里出现过依赖包被注入恶意指令、静态资源被劫持的情况，页面内容一字没错、资源却来自被污染的上游。对应的防御不在浏览器里而在习惯里：大额操作之前，用另一台网络隔离的设备把这笔交互的关键参数再核一遍——地址与金额在两台上都独立取数，比如一台查区块浏览器上的合约验证页，一台打开协议文档的部署地址表，比对在纸上或第三个应用里完成，攻击者就必须同时渗透两个网络出口才有意义。这就是安全领域常说带外确认的思路，它把一次性核验升级成结构性核验。还有一个低成本信号值得养成观察：协议的前端通常会记录并公布近期版本与变更日志，页面右下角或状态页的版本号长期没更新却突然弹新窗口、或者版本号与状态页公告对不上时，无论原因是什么，都把它当作今天不做操作的信号——核验的目的是把决策推迟到信息完整为止，而不是把可疑页面分析出一个合理解释。

最后提醒核验的边界：以上动作把”入口错”和”合约错”两类事故挡在门外，但挡不住协议本身的漏洞与治理风险，那是另一层尽调。前端核验是纯防御性技能，成本一次性，收益是永久的；把它做成肌肉记忆，比记住任何一个域名都可靠。以上仅为安全机制与防御说明，不构成投资建议。