Web3 安全

空投登记用大厂文档站的表单发起，域名是真的，钓鱼的是字段。本文讲清收集型与越界型表单的区别、四步核验顺序，以及已经填过之后该怎么补救。

攻击者拿到口令后反复触发登录确认推送，等的就是你不耐烦点下“批准”的那一下。本文讲清推送轰炸的机制、三个错误动作、正确的处置顺序和更稳的验证结构。

端口映射、UPnP 和长期开启的远程桌面，会让互联网直连到你家的设备。本文给出家用网络暴露面的三本账审计法、资产操作的网络纪律和被入侵后的处置流程。

假钱包和假交易所 App 常常不来自商店，而来自企业描述文件、外部测试链接或 APK 直装。本文讲清三条分发通道绕过了哪一层，以及从安装到权限的核验与卸载处置。

收款人的显示名称可以由对方自己填写，攻击者用同名账号配上相似地址，就能让转账页处处“眼熟”。本文讲清显示文字与地址的验证边界、三关纪律和被投毒后的处置。

挂 NFT 时钱包弹出的 setApprovalForAll，作用范围不是你那一件藏品，而是该合约下你持有的整个系列。本文讲清单件授权与整套授权的差别、签名前三问与查撤方法。

自己编一句英文当助记词，绕过的恰恰是助记词标准设计的目的。本文按 BIP-39 的通用机制讲清熵、校验和的分工，以及翻译、换词表带来的种子偏移。

开头六位、结尾四位的核对习惯，可以被专门定制首尾字符的地址绕过。本文讲清靓号仿冒与地址投毒的分工，给出同源、整段、双人念三条核对纪律。

项目方一句「合约已暂停」背后，可能是止损保护，也可能是收割前奏。本文给出三个判断问题与暂停期间普通用户的标准动作顺序。

无痕窗口只清理这台设备的本地记录，挡不住网络侧、站点侧与扩展行为。本文讲清它适用的场景、与钱包扩展的组合风险，以及资产操作该用的隔离方式。