Web3 安全

提现触发人工审核、要求补充资金来源材料，是真实存在的平台合规流程，也是钓鱼喜欢借用的话术。本文分清两种场景的特征，给出走官方通道的提交顺序、材料最小化和脱敏方法，以及假版本的四个破绽。

桌面端钱包和配套工具可能在电脑上开启本地服务端口，方便调试与组件通信。本文用通用语言解释本地端口机制、它被网页或恶意程序利用的前提，并给出普通用户看得懂的排查与降险清单。

参与协议测试是开发者与新用户的常见动作，但测试币不值钱这件事本身就会被骗子利用。本文讲清测试网与主网的真实边界、测试币的获取常识，以及「测试币回收换真币」「内部测试通道」两类骗局的识别要点。

DAO 治理进入大众视野后，「帮我投票领空投」「一键委托奖励翻倍」成了新的钓鱼外衣。本文讲清治理投票在链上改变了什么、委托和代理的授权含义，并给出投票季签名前的四问与事后收回清单。

更换手机是账户安全的敏感窗口：旧设备没退出、验证器没迁移、通知通道没接管，都会让新机成为裸奔的第一现场。本文以欧易 OKX 为例给出换机当日的迁移顺序、两端差异与旧设备处置清单。

不少钱包和交易所App内嵌了第三方客服系统，聊天窗本身就是可被投毒的入口。本文讲清嵌入式客服的技术构成、冒用窗口的三类信号，以及不依赖聊天窗的验真替代路径。

提币地址簿能减少手滑也少了当面核对的机会。本文拆解白名单与常用地址功能的工作机制、地址投毒如何利用它，以及录入、变更、轮换三个环节的防御动作。

区块浏览器为地址标注交易所、基金、黑地址等标签，但这些标签依赖运营商的人工标注，可能滞后、错标或被抢先注册。本文讲标签数据的来源、三类失效情形与引用纪律。

手动把 Gas 设成 0 或过低，交易可能长期停在内存池里：既没上链也没失败。本文解释 pending 状态的成因、替代交易与加费追替换的处置顺序，以及找回原币的正确姿势。

项目官网、文档站甚至钱包服务的域名都可能因续费失误进入赎回期，被抢注后原样仿冒。本文讲域名到期时间线、可观测信号，以及持有人与用户两侧的处置办法。