Web3 安全

把 API 密钥、云凭证写进代码再推到仓库，是开发者最常见的失手。本文讲清公开仓库的镜像爬取为何让撤销成为唯一解，给出处置顺序：先撤销、再清历史、后轮换，以及提交前防护的三层做法。不构成投资建议。

屏幕共享是实时泄露面最集中的会议工具功能：通知横幅、密码管理器自动填充、切错的标签页都可能入镜。本文拆解共享类骗局的剧本结构与共享前中后的最小暴露操作。不构成投资建议。

钱包添加网络时要填的 RPC 地址，决定了余额、名称、历史这些链上信息怎么显示给你。本文解释 RPC 端点的角色边界、伪造显示的原理，以及给自定义网络建立锚点和添加前核验清单。不构成投资建议。

手续费飙升时的加速、取消、替代交易，本质都是“用同nonce的新交易覆盖旧交易”——而每一次重签，都给地址替换和显示脱节创造了机会。本文拆解这套机制的正确用法与安全边界，附高危话术清单。不构成投资建议。

Bitcoin Core 钱包加密口令的防御边界：忘记 walletpassphrase 口令后哪些恢复路径真实存在，哪些传言无效。

浏览器替你记住了几乎所有账号密码，对加密用户来说这是一份隐形的钥匙位置清单。本文拆解本地存储、云同步与自动填充三条链路，给出可逐项执行的清理与导出纪律。

有人在链上给你多转了钱，要求退到另一个地址——可能是真实事故，也可能是资金清洗或三角骗局。本文讲无撤回机制下的三种情形、核实三要素，以及为什么退回必须原路原币、绝不转发。

带私钥或接口密钥的提交被推上公开仓库时，第一反应不该是删文件重推。按 GitHub 官方文档梳理处置顺序：先吊销、再排查暴露窗口、然后才决定要不要改写历史，以及改写为什么不能算处置本身。

仿冒交易所邮件是加密钓鱼的重灾区。按 OKX 帮助文档梳理三层核验：防钓鱼码的正确理解、发件地址与 EML 认证字段判读、以及点与没点之后完全不同的处置顺序。

手机是加密用户验证码与会话的载体，却总要离手。本文给出维修、代操作场景下离手前的清场清单、回手后查配置档案与登录痕迹的核对顺序，以及判定失陷后的重装纪律。