让你打开控制台粘贴代码的人，正在拿走登录态：控制台钓鱼识别

一段谁都会打开的窗口，为什么成为攻击面

浏览器按 F12 就能打开开发者工具，其中控制台可以直接向当前网页执行脚本。关键在于执行身份：在交易所、钱包网页版或任何登录态页面里打开控制台贴入代码，那段代码就以你的登录身份运行，能读取页面里可用的会话数据和本地存储，把有效的会话令牌送到攻击者手里。攻击者全程不需要入侵任何服务器，他只负责说一句话：把这段代码贴进去。这在安全领域叫自劫持，受害者亲手完成了攻击的最后一步。主流浏览器近年对控制台粘贴加了警告，需要手动输入允许字样才肯粘贴，这个设计本身就说明这条路有多常用。

这类话术长什么样

话术的共同结构是：先给你一个好奇或焦虑的钩子，再让你打开一个你从未用过的高级入口。常见剧本有：粘贴这段代码检测你的账户被盗风险；控制台粘贴代码解锁隐藏功能或测试资格；网页报错了，客服让你贴一段修复脚本；教程带你查看自己的资产记录。所有版本里都藏着同一个不合理之处：正规平台没有任何功能需要通过用户端执行代码来启用，客服更不会远程指挥普通用户操作开发者工具。一个产品如果真的需要检测，会在服务端完成后把结果展示给你，而不是把脚本塞给你。

红线与核验动作

给自己定三条不需要判断力的规则。第一，任何人以任何理由让你打开控制台、开发者工具、执行脚本，一律视为攻击，对方声称是官方客服也不例外，官方安全文档会明确说明员工不会这样要求。第二，自己的浏览器保持默认状态，不装自称能注入网页脚本的油猴类扩展来跑别人给的代码，脚本内容你无法逐行读懂，就等于把账户交出去。第三，怀疑页面被动手脚时，先检查地址栏域名是否逐字符正确，再考虑刷新；不要在陌生网页的登录态里做任何实验。

已经粘贴了怎么办

立刻假设当前平台的登录态已泄露。第一步，在真实官网修改密码并强制所有会话下线，让被偷走的会话令牌失效。第二步，检查账号上被加入的东西：新的设备信任记录、新的邮箱或手机号绑定、自动转发规则、应用编程接口密钥，可疑的一律删除。第三步，网页钱包或浏览器扩展连接过的外部授权逐条核对撤销。第四步，账户若出现异动，按被盗流程留证据并联系平台客服，走站内入口而不是搜索结果或对方发来的链接。这个场景有个缓冲：偷走的是会话，不等于拿到私钥，只要没有签名授权被动用，资产主体往往还守得住，动作越快窗口越小。

为什么受害者往往是热心或着急的人

这类钓鱼很少挑技术小白下手，它挑正在处理问题的人：网页卡住的用户、急着验资格的新人、想帮忙测试的热心群友。情绪越急，越容易把不合理的指引当成合理。守住那条最笨的规则就够了：不粘贴、不执行、不实验，一切验证都回到你手动确认过的官网里做。

把这条规则讲给身边的人

这类攻击在社群里传播最快，因为转发者本人往往就是上一个受害者：他在别处学到一个检测脚本，觉得有用，原样转给群友。给身边人一句话版本的防线就够用：任何需要你亲手执行代码的体检和福利，都先当作骗局处理。任何教程只要出现让你复制粘贴命令、打开开发者工具的步骤，先默认它有问题，回来找熟悉的人看一眼原文再决定。这个缓冲区能挡住绝大多数案例，因为自劫持依赖的是即时执行——一旦事情被拖延、被转交、被拿出来讨论，剧本就演不下去了。

风险提示：本文为安全知识科普，不构成任何投资建议；涉及私钥、签名与转账的操作请通过官方渠道谨慎处理。