Web3 安全

充币时地址抄对了、Memo 漏填，资金可能进了平台却认不出是谁的。本文解释 Memo/Tag 在交易所归集体系中的作用、误填的后果梯度，以及充币前的三查与出事后的正确姿势。

第三方在不掌握私钥的情况下改写未确认交易的TXID，曾是比特币早期最别扭的技术问题。本文拆解签名脚本可改造的来源、2014年交易所停提事件中的角色，以及隔离见证与WTXID如何把它关进笼子，并给出收款方的防御清单。

CoinJoin把许多人的输入输出拼进同一笔交易，让每个等值产出难以对应回谁。本文解释其密码学原理、混合强度的度量，以及2024年执法事件后协调者生态的分叉，并给出合规与安全边界下的防御性使用常识。

闪电通道余额只存在于双方的本地数据库里，链上没有余额表。本文解释承诺交易与撤销密钥如何让备份变成生死线，静默掉线、惩罚窗口错过的后果，以及静态通道备份能救回什么、救不回什么。

Ethereum Remote Signing API把验证者签名、密钥和斜罚保护移到远端，但官方明确警告不得直接暴露公网。本文给出数据面、管理面和斜罚状态的信任边界、最小访问矩阵，以及超时、迁移和双实例故障演练。

Chainalysis发布2026世界杯相关链上资金流分析。本文区分转移额、预测市场成交、FIFA Collect数字收藏品与真实门票，说明RTB、RTT的权利边界与官方渠道核验方法。

用钱包登录网站时弹出的签名请求不产生链上交易，也不直接转走资产，但消息内容可能被伪装。本文讲清 ERC-4361 登录签名的机制、危险变体和每条签名前的核对清单。

扫码连接钱包依赖配对与中继消息通道。本文按协议文档讲清配对的生命周期、会话能替你做什么、长期挂着的连接为何是风险，以及一份可执行的撤销与巡检清单。

以会议和屏幕共享为载体的钓鱼正从企业场景外溢到加密用户。本文讲清会议邀请的伪装路径、共享屏幕时哪些内容最危险，以及参会前后的核对与止损动作。

DAO、工作室和家庭的共同资金常栽在单人权限与交接混乱上。本文讲多签与角色分离的取舍、密钥持有人名单管理，以及成员退出时的撤销顺序。