官网宣布「域名迁移」时：新域名核验与切换窗口的防冒充清单

项目更名、业务分区、原域名被劫持或被注册商处置，都会让官方发布公告：请移步新域名。公告本身可能是真的，但公告发布到新域名彻底站稳之间的这段窗口期，是攻击者一年里最忙碌的时段：用户第一次听说新地址，没有书签、没有肌肉记忆，全靠搜索和群里转发的链接找路——这正好把入口的选择权交到了别人手里。

窗口期风险的三种形态

第一种是抢注旧域名。旧域名到期后没有及时续费，或被原持有者放弃，几天之内就会被脚本批量扫描并注册。原来的收藏用户第二天打开熟悉的网址，看到的是一个像素级复刻的登录页。

第二种是伪造新域名公告。攻击者抢先把「官方迁址」的公告做成截图和推文在各渠道散布，指向他们提前架好的仿冒站。等真官方发布真公告时，假公告已经在传播链上跑在了前面。

第三种是中间跳转错位。从旧域名的某个深层页面跳转时,目标被改写到拼写相近的域名上——只差一个字母的域名在快速浏览时几乎不可能被肉眼抓到。

新域名的三通道核验法

原则只有一句话：新域名必须在至少两个相互独立的官方通道上被同时确认，单向度来源一律不算数。

通道一是官方代码仓库与文档站。如果项目在公开代码平台上有组织仓库，README 或文档目录里的链接变更提交通常是最难伪造的一手信号，且带有可查的历史时间戳。

通道二是应用内与后台公告。登录交易所或钱包的官方客户端，在站内公告栏核对迁址消息。站内的位置由官方控制，钓鱼者最多能引导你来站内，无法替你伪造站内公告本身。

通道三是多个公开社交账号的交叉。注意要核对发布主体是否为认证过的原账号，而不是新开的仿冒号；同时留意发布时间是否早于你收到消息的时间——如果你先看到「迁址」而官方账号一小时后才发公告，你看到的极可能是预制货。

三通道里只要有任何一环缺失或矛盾，就按假公告处理，暂停迁移动作。

切换窗口的操作纪律

第一，把资产操作和地址记忆分开。窗口期尽量避免大额签名操作；确需操作时，用小额测试交易走一遍完整流程，确认落地地址与预期一致。

第二，警惕「迁移要动链上资产」的话术。域名迁移改变的是访问入口，不改变链上合约与资产归属；任何要求你「到新站重新授权一次」「签名认领旧资产」「迁移前验证钱包」的指引，都是红旗信号。真迁移从不需要你签任何东西。

第三，旧域名立刻从书签里清掉。不要保留「以防万一」的旧入口，那正是被抢注后最容易复发的入口。新域名核验通过后，先在新站用一次再存书签，确保存的是最终落点而不是跳转中间页。

第四，在自己的记录表里写一行：迁址公告的核验时间与依据通道。三个月后若出现「上次迁移」的旧闻翻炒，这行记录能帮你十秒钟识破。

一次窗口期的完整时间线示例

把上面的动作串成时间轴更容易执行：公告出现当天，只做核验不做操作，把三个通道的原文截图存档；核验通过后第一天，更新书签、清理旧域名、给新站做一次小额功能测试；窗口中期，再回看一次官方渠道有没有「更正公告」——迁址信息被部分修正的项目并不少见；旧域名正式停用后，做一次收尾检查，确认自己的所有自动入口（浏览器同步、密码管理器里的网址、脚本来访域名）都已经指向新地址。整条时间线里没有任何一步需要你签名或转账，这本身就是对照标准：真正干净的域名迁移，用户全程只做「看和改书签」两件事。

以上均为一般性防御参考，不构成投资建议，也不承诺任何工具或流程绝对安全。