Web3 安全

listdescriptors 能盘点钱包全部描述符及活动、范围和派生状态。本文说明 private 参数风险、找零识别、next_index复核和最小暴露审计格式。

ERC-5267让应用读取EIP-712域字段并监听域变化。文章用字段位图、chainId、verifyingContract和DomainChanged事件建立签名前检查，说明接口可读为何仍不能替代用户意图核验。

ERC-2771让接收合约从可信转发器附加的calldata中恢复原始发送者。本文说明isTrustedForwarder、msg.data尾部解析、升级权限和伪造调用者风险。

IBC Callbacks让合约或模块响应跨链发送、接收、回执和超时事件。本文说明参与者认证、最大Gas、中间件顺序与失败隔离，防止回调拖垮数据包流程。并提供IBC Callbacks场景下可复查的操作记录与安全边界。

逐项解释getdescriptorinfo返回的规范化描述符、checksum、isrange和hasprivatekeys，并给出私钥泄露停止线与导入前地址抽查流程。

说明Lightning Watchtower如何在节点离线时侦测旧承诺交易并广播惩罚交易，同时划清CSV窗口、备份、在线率与灾难恢复边界，附LND部署监控、费用设置和测试环境演练清单。

硬件钱包收款的安全价值，不是电脑生成了一个地址，而是设备能在隔离屏幕上独立显示自己控制的地址。只复制桌面端地址会留下剪贴板替换和恶意界面风险；只看设备地址又可能忽略选错网络。能依据一手来源判断Ledger设备端收款地址核对的真实状态，并按证据链处理异常。

GenuineCheck是设备与官方软件之间的加密验真，不是“包装完好”或“卖家可信”的同义词。它能发现设备无法提供有效证明的情况，却不能保证电脑无恶意、恢复词未泄露或以后每笔签名都安全。能依据一手来源判断LedgerGenuineCheck验真的真实状态，并按证据链处

2026年7月14日的OFAC行动更新了伊朗央行条目中的多条TRX地址。生产筛查不能只复制新闻里的地址：要从官方清单做版本化差异，绑定网络与实体，并把直接命中和链上关联风险分开。能依据一手来源判断OFAC伊朗央行加密地址更新的真实状态，并按证据链处理异常。

美国司法部2026年7月21日公告称，五项调查已扣押超过2500万美元加密资产并提交民事没收诉状。读者真正能带走的不是案件金额，而是骗局怎样建立信任、假投资页面怎样阻止提现，以及二次追损骗局如何再次收钱。能依据一手来源判断美国司法部加密骗局没收案的真实状态，并按证据链处