Web3 安全

不联网的备份才是真备份，但物理介质有它自己的灾难清单：受潮、锈蚀、褪色、火灾、偷窃与易主。本文按介质与威胁逐项核对：金属板怎么刻、几份怎么放、保险柜怎么选、销毁怎么做、演练怎么做。

硬件钱包收款的安全价值，不是电脑生成了一个地址，而是设备能在隔离屏幕上独立显示自己控制的地址。只复制桌面端地址会留下剪贴板替换和恶意界面风险；只看设备地址又可能忽略选错网络。能依据一手来源判断Ledger设备端收款地址核对的真实状态，并按证据链处理异常。

GenuineCheck是设备与官方软件之间的加密验真，不是“包装完好”或“卖家可信”的同义词。它能发现设备无法提供有效证明的情况，却不能保证电脑无恶意、恢复词未泄露或以后每笔签名都安全。能依据一手来源判断LedgerGenuineCheck验真的真实状态，并按证据链处

2026年7月14日的OFAC行动更新了伊朗央行条目中的多条TRX地址。生产筛查不能只复制新闻里的地址：要从官方清单做版本化差异，绑定网络与实体，并把直接命中和链上关联风险分开。能依据一手来源判断OFAC伊朗央行加密地址更新的真实状态，并按证据链处理异常。

美国司法部2026年7月21日公告称，五项调查已扣押超过2500万美元加密资产并提交民事没收诉状。读者真正能带走的不是案件金额，而是骗局怎样建立信任、假投资页面怎样阻止提现，以及二次追损骗局如何再次收钱。能依据一手来源判断美国司法部加密骗局没收案的真实状态，并按证据链处

二维码把一段网址折叠成黑白方块，扫码前几乎看不出它会把你带去哪里。本文讲清二维码钓鱼的常见场景——假领奖台、假充值口、被调换的收款码——以及扫码前、中、后的三步核验方法。

同一组助记词加上一个口令，可以派生出一套完全不同的钱包。本文解释 passphrase（第 25 词）的安全逻辑、它能在哪种泄露场景下保护资产、使用时必须配合的备份纪律，以及它不能防什么。

假客服的剧本永远围绕一个认知差：真正的官方不会先私信你，也不会在私聊里处理账户问题。本文整理 Discord 徽章与工单系统的验真方法、Telegram 的身份核验要点，以及客服类骗局的标准话术。

硬件钱包的价值建立在「设备从出厂到你手里没被打开过」这一前提上。本文讲清转售与二手渠道可能引入的设备侧供应链风险：预置密钥、篡改固件、外观伪造，以及购买前后的验真清单。

授权在「取消全部」成为默认习惯之前不会过期。本文解释为什么停摆项目的合约授权仍可能被执行，给出排查沉睡授权、清理僵尸代币和降低历史遗留风险的完整顺序。