Web3 安全

以"证明你是真人"为卖点的空投活动，会把人脸、虹膜这类不可重置的生物特征收进设备。本文解释这类项目的一般机制，给出五个必问问题和一套适合家庭场景的拒绝与处置清单。

共享闲置带宽、存储或算力的设备与脚本，宣传里常见"躺赚"两个字。本文拆解这类安排的真实成本结构：流量转售、权限索取与仿冒设备三条风险线，以及签约前的排查清单。

合约经过审计是安全信号，但徽章只是图片、报告是 PDF，两者都能伪造、过期或张冠李戴。本文给出四步核验法：核机构名录、核对像、看覆盖范围、比对部署版本。

批量撿空投的群聊里，"托管脚本""一键多号"看着省时省力。本文讲清这类工具的三条风险线：私钥集中、权限让渡与平台风控，并给出识别话术和"绝不交出私钥"的底线纪律。

Geth 1.17.0修复多个关键漏洞，并建议升级后重新生成P2P nodekey。本文给出静态peer、节点ID白名单、监控与滚动轮换的完整迁移、验收及回滚边界清单。

Clear Signing通过ERC-7730描述符把合约调用转成人类可读确认信息，但显示正确仍依赖上下文绑定、schema版本、注册表审核和钱包信任源。本文逐层拆解。

Kubo内置ipfs update可下载并校验官方二进制、保留旧版本用于回退，但命令仍属实验性且安装前必须停daemon。本文给出升级前后验收清单与失败回滚方法。

钱包签名弹窗不需要逐字通读，真正决定风险的是发起方、合约地址、资产流向和权限有效期四个字段。本文给出一套按风险分级的快速核对法，以及硬件钱包交叉核对的正确姿势。

只存不演的助记词备份等于单腿走路。本文说明恢复演练的正确流程——隔离环境、临时钱包、只比地址不碰大额，以及演练频率、记录方式和常见翻车点。

蓝牙硬件钱包的常见焦虑是“无线是不是多了一道后门”。本文解释蓝牙在签名架构中的传输层定位、配对确认码的防中间人原理、配对关系的收回方法，以及关闭蓝牙改走有线的方式，并提醒以厂商官方文档核实自己机型的细节。