Web3 安全

恶意扩展和诱导式安装会改写你的书签、主页与新标签页，让假官网成为你“自己存过”的老朋友。本文拆解污染路径，给出定期审计和重置信标的方法。

只读盯盘只需要你的地址或 API 令牌，而不少“查看资产”页面实际弹出的却是签名请求。本文划清追踪类工具的权限边界，并给出连接前的四步核验。

XRP 等链的交易所充值地址是多人共用的，靠 Memo/Tag 区分你的那一笔。漏填或填错时资金并非流向陌生人，但找回要依赖平台流程。本文讲机制、补救顺序与事前防线。

在别人或公司的电脑上登录钱包与交易账户，风险不来自“看起来干不干净”，而来自键盘记录、会话缓存和同步通道三个你无法目视检查的暴露面。

网站只要拿到“允许通知”权限，就能把钓鱼链接伪装成系统提醒推到你的桌面和锁屏上。本文讲清网页通知的机制、识别方法和批量退订路径。

所谓“安全检测页”“找回工具”让你填助记词，无论页面多真、话术多专业，本质都是让攻击者当场重新生成你的全部私钥。本文给出识别信号与已输入后的止损顺序。

提币白名单、新地址提币锁和防钓鱼码是欧易OKX 安全设置里互相独立的三道闸门。本文按日常提币、账户异常应急、新设备登录三种场景，说明各开哪个、怎么核、哪些动作要停。

白名单登记、空投申请表、开发者问卷，这些表单要求同时提交链上地址与个人信息，等于把匿名地址与实名绑定。本文讲这种绑定的长期后果，以及提交前的四问清单。

把 API 密钥交给机器人、表格或记账工具之后，很多人忘了它还活着。本文讲清三种权限类型的差别、最小权限的绑定纪律，以及泄露或遗忘之后按优先级关闭资金通道的顺序。

可升级合约在升级窗口内可能改变资金规则。本文教普通用户看懂时间锁等待期、管理员地址与升级公告里的关键信息，并给出升级窗口的三档应对动作。