Web3 安全

只读盯盘只需要你的地址或 API 令牌，而不少“查看资产”页面实际弹出的却是签名请求。本文划清追踪类工具的权限边界，并给出连接前的四步核验。

恶意扩展和诱导式安装会改写你的书签、主页与新标签页，让假官网成为你“自己存过”的老朋友。本文拆解污染路径，给出定期审计和重置信标的方法。

扫码登录把“输密码”换成了“在你信任的设备上确认一次”，确认即授权。本文讲清会话令牌的机制、二维码转发式攻击的形态，以及出事后的会话吊销顺序。

“输入助记词即可找回”是混淆钱包密码与助记词的骗局话术。本文把 App 密码、助记词、私钥三样东西的找回逻辑一次讲清，并给出被“找回服务”诈骗后的处置。

CFTC对Goliath Ventures的投诉列出保本承诺、虚假利润、挪用资金和假报表等信号。本文区分监管指控与法院结论，并给出核查路径。

MetaMask 13.43.0新增代币Security and Trust信号，并修复硬件钱包卡死、安全中间页和费用估算问题。本文说明升级后的核验边界。

邮箱被接管往往不是密码当场输错，而是攻击者先埋下自动转发、挂上第三方授权、留好应用专用密码这三处暗门。本文给出逐项排查清单与搬家式改绑的正确顺序。

网络拥堵期间，假加速服务、假客服和“付费插队”话术集中出现。本文讲拥堵的真实机制、动手前三步检查，以及拥堵期的防骗处置顺序。

从改名抢注到压缩包夹带，供应链投毒离普通用户并不远。本文给出包名核对、锁定文件检查、更新分批灰度的双层防御清单，以及公告后的处置顺序。

恢复邮箱停了、旧验证器没迁移、备用手机号被回收，出事当天才发现备用路线早已失效。本文给出恢复路线年检清单与每年一次的找回演练方法。