带毒安装包与假下载站：钱包软件本身可能被替换

最安静的一环：你信任的那次下载

钓鱼网站骗你签名字，而供应链攻击换掉的是你每天打开的软件本身。路径通常有三条：搜索广告位上排名靠前的「官网」，点进去是像素级仿制的下载页；SEO 做的假下载站，页面和真官网几乎一样，安装包却已被植入后门；以及第三方软件站「顺手」捆绑的静默安装。与单次钓鱼不同，带毒安装包的破坏是持续性的：它安静地记录键盘输入、监控剪贴板、读取浏览器数据，你每一次签名、每一次输入密码都在它眼前。很多人被盗后复盘几个月，才把原因定位到当初「装钱包的那次下载」。

核对渠道的优先级

判断安装包来源，按可信度从高到低：项目官方 GitHub Release 页（确认仓库属于官方组织，而不是拼写相近的仿冒仓库）；官方文档站明确写出的下载链接，且从你手动输入的官方域名进入；已安装版本应用内的更新提示。反过来，这三类来源要直接排除：搜索引擎结果中带「广告」标识的链接；任何第三方软件站的「极速下载」；以及社群里别人发你的安装包文件。社群里热心的「安装包直链」是高危行为，哪怕对方账号看起来有历史发言。

核对哈希：五分钟堵住最大的洞

正规项目会在 GitHub Release 页公布每个安装包的哈希值（SHA256 或等价算法）。下载后在终端计算本地文件哈希并逐字符比对，是普通人能执行的最强校验：哈希一致，说明文件与官方发布完全相同；不一致或找不到公布值，宁可不装。操作步骤很朴素——找到官方 Release 页的哈希清单，用系统自带命令计算下载文件的哈希，两者比对。这个动作在 macOS、Windows、Linux 上都只要几分钟，却是「官方发行」与「被人动过」之间最可靠的分界线。

一条不可妥协的纪律

把下载行为收敛成一条规则：任何钱包、签名插件、节点工具的获取，只允许通过自己手动输入的官方域名或官方 GitHub 仓库进入；升级只走应用内更新或再次从同一官方源下载；新装环境先小额试运行，观察数日再承载主资产。规则简单到可以写在便利贴上贴在显示器边——供应链攻击赌的就是你嫌麻烦，而校验哈希的麻烦只要五分钟。

不只是钱包：这条链上还有什么

供应链风险不只发生在钱包安装包上。浏览器扩展是重灾区：一个装了数月的合法扩展，可能在某次自动更新中被植入恶意逻辑，读取你正在签名的交易内容；npm 与包管理生态里的依赖被投毒，会让「只跑一个本地脚本」的开发行为也暴露；甚至操作系统的字体、主题类小工具都曾有携带后门的先例。对普通用户的含义是：扩展做减法，只保留必装项并定期清理；插件尽量从官方商店安装并锁定来源，审查其权限申请是否过度；同一台设备上，日常浏览与资产操作使用两套隔离的软件组合。所有「装来只用一次」的工具，用完即卸载——攻击者最喜欢长期潜伏在你早就忘记存在的应用里。

还有一个常被忽略的环节：更新通道本身。正规软件通过官方渠道推送增量更新，攻击者若拿不到软件本体，就会尝试污染更新路径——劫持更新服务器、替换更新描述文件，让「点击检查更新」变成一次静默重装。对策是把更新也纳入同一条下载纪律：只信任应用内的自动更新与官方渠道的重下载；对任何弹窗提示「检测到新版本，点击此处升级」的网页提示保持怀疑，它永远不该来自一个网页；桌面端软件可以关闭「自动从任意 URL 更新」的危险配置，改用手动确认。同一次下载纪律覆盖安装与升级两个动作，供应链攻击才没有第二道门可走。