链聚会的二维码、领取机和会议WiFi：线下活动现场的钓鱼信号与纪律

会场灯暗下来，工作人员笑着递过一张纪念贴纸，说扫码登记就能领官方空投；隔壁展位摆着一台冷钱包体验机，屏幕上正在现场生成助记词。线下的握手、胸牌和真实场地会悄悄抵消你在屏幕前养成的怀疑，这就是现场钓鱼的全部秘密——攻击者没有攻破任何系统，他只是借用了场合替你说了「可以信」。

现场入口可以归为四类，逐个说信号。第一类是证件与物料上的二维码：扫码前你永远看不到链接内容，落地页可以是签到表，也可以是要求连接钱包的仿冒领取页。应对动作很轻：用系统相机或聊天工具先做链接预览，看清最终域名是否出现在活动官网和官方公告里；域名需要跳转两三次才能到达的领取页，直接放弃。第二类是现场的「领取机」和冷钱包体验装置：任何要求输入助记词、私钥或扫描设备恢复界面的互动装置，无论做得多像官方周边，都不碰真钱包——想体验流程，带一个从未存过资产的测试钱包去试。第三类是会议WiFi：公共网络的明文流量与DNS跳转意味着你登录后的一切页面都可能被改写重定向，会场的正确姿势是所有涉钱包操作一律用手机流量，公共WiFi只用于查资料，不登录任何账户。第四类是主动搭话的「工作人员」：提出「我帮你操作一下手机」「扫一下你钱包地址核销名额」的人，无论制服多正式，请求都不属于任何正规现场流程——钱包操作的屏幕不该交给别人接手。

会前的准备决定一半的运气：提前查活动官网和主办方官方账号，看清官方声明的活动域名、领取通道和现场环节；有些大会会专门发布防钓鱼公告，列明官方展位与不会做的事，出发前读一遍比现场临时判断便宜得多。设备上也做减法：蓝牙和热点关闭，不自动连接任何含场馆名称的WiFi，只保留手机流量与必要App；涉及大额资产的设备尽量不带到现场，只带日常测试钱包和交易所App。

现场纪律浓缩成三条：领任何福利走官网核验过的域名，不扫陌生二维码进钱包页面；签名请求只看四个字段——合约地址、金额、接收方、授权额度，现场没有例外；任何「名额还剩十分钟」的话术，都按倒计时骗局处理，错过活动不损失任何东西。

会后还有一份十分钟的收尾清单：撤销当天在展会环境里签过的授权，删掉顺手添加的网络配置，回看连接过的DApp域名列表；检查邮箱和社交账号，看是否多了奇怪的联系人和关注；发现异常先动止损顺序——改密、登出全部会话、迁移可疑资产。链上世界最精密的合约，往往输在线下一杯咖啡搭起来的三分钟信任，这正是每个参会者需要自己补上的那一课。

最后解释一下为什么这类骗局在线下格外划算，理解了投入产出你就知道该把警惕配到多高。线上钓鱼要买域名、投广告、防举报，一个剧本摊薄到几万受害者头上；线下活动是人群密度最高的信任场景，一台伪装成官方周边的领取机，一个下午就能面对几百个已经默认「这里安全」的人，成本只是印刷和演技。也正因如此，主办方的安保意识和参会者的个人纪律同样重要：正规大会通常会在官网和现场广播里重复提醒「官方不会索要私钥、不会让人代操作手机」，如果你参加的活动从头到尾没有任何安全提示，反而要提高一档警惕。把参会的体验留在现场，把钱包的操作留给回家后的家庭网络——这条分隔线，就是链聚会最便宜也最管用的防具。