Web3 安全

家里那台常年开着的 NAS 可能同时接收手机照片、跑外网穿透、装第三方 Docker 镜像，是加密用户最容易被忽略的攻击面。本文给出从外网映射到备份内容的应用层排查清单。

第三方客户端用应用专用密码登录邮箱后，不再受两步验证约束，也很少出现在常规登录记录里。本文解释这条通道为什么特殊，并给出排查与回收的具体路径。

把助记词切成几份分别存放，能避免单点失守，也能造成永远拼不齐的资产。本文对比 Shamir 门限分片与 passphrase 隐藏钱包两种机制的失效点，并给出演练清单。

最有效的钓鱼链接往往来自朋友的账号。账号被接管后，攻击者借用的是你多年攒下的信用。本文梳理被接管的信号、从另一台设备开始的清理顺序，以及不造成二次伤害的告知方式。

项目改名、分区运营或被封锁都会促成官网换域名，而公告发布到旧域名关闭之间的空窗期，正是仿冒域名最活跃的时段。本文给出新域名的多通道核验方法与窗口期操作纪律。

转账后打开浏览器查哈希是多数人的第一反应，而假资源站正是利用这一步：它改不了链，却能改你看到的东西。本文给出假资源站的识别信号与多源交叉核验步骤。

CFTC对Goliath Ventures的投诉列出保本承诺、虚假利润、挪用资金和假报表等信号。本文区分监管指控与法院结论，并给出核查路径。

MetaMask 13.43.0新增代币Security and Trust信号，并修复硬件钱包卡死、安全中间页和费用估算问题。本文说明升级后的核验边界。

批量撿空投的群聊里，"托管脚本""一键多号"看着省时省力。本文讲清这类工具的三条风险线：私钥集中、权限让渡与平台风控，并给出识别话术和"绝不交出私钥"的底线纪律。

合约经过审计是安全信号，但徽章只是图片、报告是 PDF，两者都能伪造、过期或张冠李戴。本文给出四步核验法：核机构名录、核对像、看覆盖范围、比对部署版本。