Web3 安全

OFAC 针对伊朗相关加密支付和制裁地址的行动，提醒用户关注平台风控、地址来源和链上合规风险。本文只讲防御检查，不提供任何规避方法。

开发者选项里的USB调试和无线调试，是给工程师准备的通道：一旦开着，接到陌生电脑上的数据线就可能变成一条通向手机的命令通道。本文讲清这套调试机制的默认状态、授权确认弹窗和已信任电脑列表分别拦什么、漏什么，并给出资产手机上的关闭顺序、事后撤销授权的方法，以及修手机、进维修店之前该做的检查。

网盘分享链接的便利在于不用收件人，风险也在于不用收件人。链接被转进群里、被采集工具收录、被搜索引擎抓到，都可能让一份写给你一个人的文件变成公开材料。本文讲清分享链接的三种可见性档位分别意味着什么，哪些字段决定链接会不会二次扩散，并给出一份从盘点、收窄到换址的排查顺序，以及涉及助记词、身份证明类文件的特别红线。

投屏的便利是把手机画面原样搬到电视上，风险也是原样搬：通知横幅、锁屏余额、钱包弹窗、聊天窗口全部同屏出现，而这条无线通道并不是每一段都替你加密。本文拆解镜像投屏与会话投屏的区别、酒店与会议室场景下这条通道可能经过谁，以及出差期间资产操作的投屏纪律和离场检查清单。

密码不会凭空泄露：硬件键盘记录器藏在接口中间、软件记录器挂在系统里，两条路都能把敲进去的字符原样留档。本文讲清两类记录器各自的安装条件和暴露信号——固件层不写文件、软件层要混进开机启动——以及资产用户真正有效的三层防御：粘贴与扫码替代手输、独立设备签名、改密的地点纪律。

用自己的域名邮箱收验证码的人，丢域名就等于丢邮箱。域名归注册商体系管：转移密码、转移锁、注册人邮箱验证，这套机制各自拦什么、漏什么，知道的人不多。本文讲清域名从注册到转移的机制链条，给出一份把域名当资产管理的配置清单——锁、双重验证、备用联系邮箱、到期日历——以及收到「转移申请」告警邮件时的正确处置顺序。

账号找回体系里最古老的密保问题，早已是公开信息的重灾区：社交平台、家谱网站和问卷数据把答案摆在了陌生人面前。本文讲清密保问题为什么失效——它的本质是一道可以公开检索的题——哪些问题等于没设、哪些账号值得逐个进去改，以及拿不回答案时如何走官方找回通道，而不是第三方「代找回」服务。

早年生成的比特币纸钱包是很多人最早的「囤币方式」，也是踩坑密度最高的介质：生成环境当时是否联网、地址有没有被看过、私钥是否加密、派生时随机数有没有出问题，每一项都决定激活那一刻是领钱还是被收割。本文给出四条线索的核对顺序和一套安全的激活流程——先小额验证领取路径、大额立即迁移，全程避免原私钥进入联网设备。

退订链接之所以被钓鱼剧本选中，是因为它天然合理、天然要点击。本文讲清这套话术如何借「订单确认」「中奖领奖」的外衣进入收件箱，退订这个动作本身为什么会反向确认你的邮箱有人用，以及安全退订的正规姿势：从原服务入口管理订阅、核验发件身份、区分钓鱼退订与正规退订，并给出误点之后的止损动作。

新一代系统开始提供「可搜索的屏幕历史」：每隔几秒保存一张屏幕快照，几年后还能按词找回你看过的画面。官方对这类功能做了默认关闭、本地加密、生物识别解锁等设计，但对电脑上进行过资产操作的人来说，它把「看过的画面」变成了可全文检索的档案。本文讲清这类屏幕历史功能的机制边界与官方防护设计，给出资产用户的开关检查、应用过滤与快照清理清单。