Web3 安全

钱包看到的余额、历史与预估都来自 RPC 节点的应答。恶意或宕改的节点可以展示假余额、伪造确认状态。本文讲清请求应答模型、说谎位置、钱包能自动核对的边界，以及日常自保习惯。

邀请与返佣链接本身正常，但当 KOL 账号被盗、社群机器人被替换、假客服发出"专属通道"时，链接就被动了手脚。本文给出参数核对、最终域名确认与固定官方入口三条纪律。

多签把攻击目标从合约搬到了签名人身上。急迫叙事、冒名同事、凑一笔话术与假治理页，都在利用规则之外的信任。本文给出带外验证、冷静期、角色地址簿与疑似失守处置顺序。

经典换页术把旧标签页悄悄换成登录过期页，如今经典通道多被浏览器堵上，但会话过期的静默跳转面仍在。本文拆解换页剧本、新变体与签名前关闭旧标签的纪律。

助记词是可复制的知识，交给任何第三方加工、保管或代办，等同于给他人留下一把可复刻的钥匙。本文分析三类外包服务的风险结构，给出只外包位置与流程的替代方案与年度验证机制。

快捷指令和自动化工具能读取剪贴板、打开链接、调用网络，一旦装上别人分享的"效率脚本"，等于交出半台手机。本文讲清自动化能碰哪些敏感面、"运行前询问"开关的真实含义，并给出脚本审查与权限收束清单。

自挖矿的收益来自结算与链上可查记录，而假矿池后台的曲线只是像素。本文拆解假面板、算力挪作他用与"优化固件"话术，给出双端对账、无效份额核对与钱包隔离纪律。

丢手机后的慌乱操作常常把好走的退路堵死。本文把一台手机拆成支付 App、两步验证器和钱包相关软件三层，给出补卡挂失的优先顺序、每一层的判定标准与处置动作，以及事后必须补上的日常配置。

一条顺手复制的安装命令，可能把钱包签名库装成仿冒版本。本文讲清仿冒拼写与依赖混淆两种投毒路径、恶意包拿到安装后钩子后能做什么，以及锁文件、私有命名空间与安装审查的实操防线。

不用点链接也能中的招：日历邀请常直接弹出并同步到手机。本文讲清日历类邀请为什么比邮件更有效、会议链接钓鱼的标准剧本，以及邮箱自动转发规则这条常被忽视的持久化后门怎么查。