家人与陌生人的转账请求：家庭环境下的钱包操作边界

家庭环境的安全假设，通常都是反的

我们习惯把家当作安全感的来源，但在威胁模型里，家庭环境的特征恰恰与「安全设备」的定义处处冲突：多用户共用设备、软件来源由各人自行决定、屏幕从不背人、密码被彼此知道、孩子的平板装满了你叫不出名字的下载物。行业里大量真实事故的最后一环，都不是远方的黑客，而是一个毫无恶意的日常动作：帮家人转一笔账、把旧手机给孩子当玩具、在共享电脑上顺手保存了登录。本文不谈感情，只谈把这两件事分开的技术结构：让家人随时能用到钱，同时让任何人任何时候都无法碰到你的钱包。

三个典型风险形态

形态一：代操作。家人拿着你的解锁手机请你「就转一笔」——此刻你的钱包处于完全可用状态，任何第三方在你设备上的停留都是暴露：误触一个钓鱼链接的成本，在解锁状态下和在你自己指尖完全不同；而「帮家人操作」的更大隐患是习惯——一旦形成，某天替你操作的可能是一个借用家人名义的骗子。形态二：设备共享。你处理完资产没锁屏，孩子接手玩平板，浏览器里你的钱包扩展还开着；或者你退役下来的旧手机给了家人，你以为删干净了，其实登录会话、自动填充、乃至钱包数据仍在。形态三：身份冒用。「是我妈妈让我联系的」——攻击者盗用家人社交账号定制请求的剧本，此前已有专文；此处只补家庭侧的对应机制：家庭内部对资金类请求设立独立回源渠道，任何渠道的转账请求换另一条渠道确认，包括语音、包括当面。

结构方案：让「用到钱」和「碰到钱包」分家

一个可执行的分层设计，五层结构：资产层——主存储地址，日常任何场景都不出现在任何设备界面上更不必说家庭设备；操作层——你自己的设备与账户，交易在这里发起；额度层——给家庭共同开支准备的钱包，小额、充值制，相当于电子钱包里的零花钱，家人可以查看与合理使用这个额度；信息层——所有家人的收款需求由额度层统一处理，永远不需要任何人接触资产层；例外层——大额家庭支出（购房、学费、医疗）走专门流程，双人当面确认，绝不在线上「顺手」完成。这套结构运行起来，家庭日常的资金便利不受影响，而你的资产层对家庭环境的暴露面积降为零。

设备与账户的三条铁律

第一，每个家庭成员一套独立账户与设备会话——钱包扩展、浏览器、系统登录都是如此；共享登录等于共享风险，没有例外。第二，退役设备在进入家庭流通前做完整处置：资产迁移到新体系、钱包数据清除、系统恢复出厂、退出所有云服务授权；只删 App 不等于清理——会话与缓存的寿命比图标长得多。第三，孩子的设备是独立的暴露面：他们接触的下载源、小游戏与「免费皮肤」工具是供应链攻击的经典猎物，儿童设备绝不登录你的任何账户，家庭网络路由器也要保持更新与默认密码更换——路由器这一环常被忽略，它能同时看见全家设备。

最难的部分在对话

技术方案之外，家庭安全真正需要维护的是对话：向家人解释为什么不能「帮个小忙转笔钱」，向长辈解释为什么「那个戴耳机的客服」是骗子，解释本身要重复进行，因为攻击剧本也在迭代。最有效的不是禁止而是替代——额度层让家人的需求被尊重地满足，比每一次「不行，危险」都更能建立长期纪律。家庭信任不该被拿来考验设备安全，它也不该被拿来考验人心；把资产权限从情感场景里摘出来，两个世界都会更安全。这份边界写下来的当天就完成了一半，剩下的一半，是在每一个顺手帮忙的时刻，把它执行下去。