Web3 安全

公开报告显示，加密资产相关暴力胁迫会利用身份暴露、数据泄露和家庭关系。本文不渲染案件细节，而是提供信息最小化、设备分层、合法求助与应急演练框架，并明确公开事件统计的适用边界。

比特币核心 v31 新增私有广播，让交易只经 Tor 或 I2P 送出以隐藏来源 IP；31.1 公告披露的 v2 握手回退却可能泄露对端真实地址。本文拆解机制收益、适用边界与稳健启用清单。

即时通讯被盗常是加密账户失守的前一站：验证码即登录凭据。本文讲清"发个码给你"为什么等于发家门钥匙、云端聊天备份与两步验证的关系，并给出已登录设备巡检与被盗处置清单。

二维码把"核对一长串地址"折叠成"扫一下"，也把核对责任从系统交还给人。本文从商户与普通用户双视角拆解收款码替换、仿冒收款页与账单跳转的识别信号，给出可执行的换码流程与扫码纪律。

什么都没点，钱包连接弹窗却自己弹出来——深链能替一个页面完成"打开钱包"这一步。本文讲清自定义协议链接与配对请求的机制差异，给出弹窗到达时的五步检查动作与日常系统设置。

合约"带后门"不是玄学，而是几类写在明面上的特权：可改逻辑的升级权、凭空增发的铸造权、随时冻结的暂停权。本文给出普通用户入金前的最小核验清单，包括读合约、查权限归属与理解多签的可信边界。

把助记词或私钥提交进公开仓库，从推送成功那一刻起就要按已泄露处理。本文讲清"删除提交"为什么救不回来、监控机器人意味着什么，并给出从生成新密钥到加固工作流的标准处置顺序。

不用点链接也能中的招：日历邀请常直接弹出并同步到手机。本文讲清日历类邀请为什么比邮件更有效、会议链接钓鱼的标准剧本，以及邮箱自动转发规则这条常被忽视的持久化后门怎么查。

一条顺手复制的安装命令，可能把钱包签名库装成仿冒版本。本文讲清仿冒拼写与依赖混淆两种投毒路径、恶意包拿到安装后钩子后能做什么，以及锁文件、私有命名空间与安装审查的实操防线。

快捷指令和自动化工具能读取剪贴板、打开链接、调用网络，一旦装上别人分享的"效率脚本"，等于交出半台手机。本文讲清自动化能碰哪些敏感面、"运行前询问"开关的真实含义，并给出脚本审查与权限收束清单。