Web3 安全

多方计算、门限签名、账户抽象——这些技术让钱包在不完全自托管的前提下宣称非托管。本文讲清这类结构的真实信任假设：你的币究竟由谁在什么条件下能动，以及选择前必须读透的四组问题。

很多人把「连接钱包」和「授权资产」混为一谈，于是该警惕的地方松懈、不必紧张的地方恐慌。本文把钱包与网站之间的权限拆成三层，讲清每一层签了什么、风险多大、如何查询与回收。

老练转账人和新手的核心差别只有一个字：稳。本文给出一套可执行的测试转账流程，覆盖新地址收款、跨链桥首次使用、与未验证过的合约交互三种场景，把一次性大错变成几十块钱买到的验证。

教程和脚本是加密社区的公共血脉，也是恶意代码最顺路的载体。本文讲清共享工具常见的藏险形态——从复制即运行的命令到带配置文件的机器人，以及普通用户能执行的最小核验清单。

被盗或平台出事之后的几周，是受害者警惕心最低、骗子火力最密的窗口。本文梳理事件后常见的二次收割形态——赔付通知、回款群、监管清退话术——并给出受害者在这个阶段的自查动作顺序。

链上治理让普通持币人也能参与协议决策，但投票这件事同样有签名、授权与钓鱼面。本文讲清一票三签的真实结构、投票委托的权限实质、治理钓鱼的高发形态与安全参与清单。

白名单是交易所和钱包抵御误转与 SIM 换卡攻击的有效手段，但它防不住所有攻击。本文讲清白名单真实的防护边界、配置与复核的卫生纪律，以及它被绕过的三种常见路径。

设备送修、点了可疑链接、装了来路不明的软件之后，多数人卡在两个极端之间：要么彻夜睡不着乱阵脚，要么侥幸拖着不处理。本文给出确认泄露、疑似暴露、仅担忧三态的判断标准与各自的动作清单。

跨链转账「扣了款没到账」的绝大多数情况不是被盗，而是卡在桥的某个环节。本文给出从交易哈希、桥的状态页到官方补登通道的完整排查顺序，以及识别假桥、避免在等待期被二次收割的边界。

把币「放进合约赚利息」同样是一种资产状态，只是很多用户把它误当成银行定存。本文从合约权限、代币来源、流动性、数据透明度与退出机制五个维度，给出评估收益类合约风险的通用自查框架，不构成任何收益评估。