Web3 安全

浏览器扩展商店里那些“提效神器”用户脚本，拥有改写页面上任何文字的权限——包括收款地址和签名确认框。本文讲清内容脚本的权限模型、它和扩展投毒的区别，以及给钱包相关页面做扩展与脚本减法的自查清单。不构成投资建议。

标题前挂着 Re:、内容接着你们上个月的对话，这封回复邮件看起来毫无破绽——但它可能来自一个从未参与过对话的地址。本文拆解邮件串劫持的两条实现路径，给出看穿收发地址差异、核对上下文细节和切换通道确认的三个动作。不构成投资建议。

怀疑账号被人盯上时，交易所提供的账户冻结或锁定功能常被当作救命按钮。本文讲清冻结的真实作用边界：它挡的是平台侧的提币与改绑，挡不了链上授权继续划转、挡不了已登录会话的余温，并给出冻结前后各自该完成的动作顺序。不构成投资建议。

越来越多钱包会在你签名前弹出“该合约存在风险”“该地址疑似钓鱼”的提示。本文拆解这类内置安全检测的数据来源、判定逻辑和三个天然盲区，告诉你提示出现时该停在哪一步，没有提示时又该补做哪些手动核对。不构成投资建议。

应用锁、隐私保险柜、隐藏图标类工具常被当作钱包的第二道防线，但它们本身也是别人写的软件，还可能被伪造锁屏整套替掉。本文讲清第三方锁的权限面、假锁屏偷密码的原理，以及什么锁值得信、什么锁反而多开一个入口。不构成投资建议。

出门在外打开手机钱包输密码、扫收款码、点确认，这几秒钟是物理世界攻击面最集中的时刻。本文拆解肩窥、远距离摄像头、伪造键盘与就近搭话四种手法，给出移动场景下的输入纪律和遮挡习惯。不构成投资建议。

社群库、聊天记录类泄露素材在灰产里是现成的话术剧本：你的昵称、群关系、历史交易都在里面。本文讲这类泄露的流入路径、它能把钓鱼精准到什么程度，以及普通用户的隔离与处置办法。

「配合完成人脸核验」正在从 KYC 流程变成新的收割入口：仿冒页面采集生物特征、录制活体动作视频。本文拆解这类核验长什么样、真流程的边界在哪里，以及错过窗口期该做什么。

把邮箱粘进泄露查询站，命中了，然后呢？不同标注——明文密码、哈希、登录日志、社工库拼合——对应完全不同的处置紧迫度。本文给一张从读标注到排处置顺序的对照表。

手表抬腕付款、手环通知镜像，便利之外还有一圈容易被忽略的暴露面：通知内容外泄、配对链路和丢失后的残留在加密场景下都有具体风险。本文给一份非主力设备的边界清单。