Web3 安全

脚本搬上云服务器，等于密钥住进别人家机房：公网暴露、快照留存、面板入口一个不少。本文讲 API 权限最小化、密钥卫生、运行纪律与泄露后的处置顺序，只谈防御，不构成投资建议。

助记词被导入联网设备的那一刻，产生的不是一个临时访问，而是一个完整的在线钱包。删除不是撤销。本文讲失效半径、离线签名替代路径和已导入后的迁移处置，只谈防御，不构成投资建议。

带着过时的一半信息去敲一个更新过的门，是休眠账户回场最危险的姿势。邮箱、密码、手机号、恢复码、新条款、设备会话——本文给出登录前后的完整检查顺序，只谈防御，不构成投资建议。

高仿号不碰技术闸门，直接借用你的信任关系收割。本文拆它的三条原料路线、三条识别信号，以及「永远在旧渠道验证新消息」的验证协议和被冒用后的止损动作，只谈防御，不构成投资建议。

把老手的旧习惯原样复制到新手的手机上，等于送一套没有防线的配置。本文按设备、注册、交付三段给出九项检查，含家庭验证协议与代持边界，只谈防御，不构成投资建议。

热钱包里的余额常是遗忘的沉积物而非设计值。本文讲余额上限的设定口径、归还时限、月度盘点与两个常见边界，把最坏损失钉死成一个主动选择的数字，只谈防御，不构成投资建议。

自建域名邮箱省了广告过滤，却把找回链路绑在一条年费上：域名到期、被抢注的那天，验证码和通知流向新主人。本文讲域名到期的失明机制、双活迁移与年检清单，只谈防御，不构成投资建议。

被盗复盘里反复出现同一句话：动账那天没有任何提醒。本文给出平台侧与链上侧该开的安全通知清单、渠道优先级设计，以及核验通知真假、防止通知被反用的通用方法。不构成投资建议。

把恶意载荷装进加密压缩包、再把密码顺手写进正文，是钓鱼邮件最稳定的伪装之一。本文解释为什么安全软件对加密附件失效、正规场景为何极少用这种组合，并给出收到后的唯一正确处置顺序。不构成投资建议。

分层钱包不会无限扫描地址，而是按规范向前查看一段窗口。当收款落在窗口之外，就会出现链上有钱、界面没有的假性丢币。本文讲清成因，给出扩索引、重新扫描与恢复演练的正确顺序。不构成投资建议。