Web3 安全

假客服的剧本永远围绕一个认知差：真正的官方不会先私信你，也不会在私聊里处理账户问题。本文整理 Discord 徽章与工单系统的验真方法、Telegram 的身份核验要点，以及客服类骗局的标准话术。

同一组助记词加上一个口令，可以派生出一套完全不同的钱包。本文解释 passphrase（第 25 词）的安全逻辑、它能在哪种泄露场景下保护资产、使用时必须配合的备份纪律，以及它不能防什么。

复制地址后粘贴前，中间那几秒是剪贴板劫持唯一的作案窗口。本文给出可直接执行的地址核对方法：和源对、对首尾、对全串，以及哪些软件和设备行为会让你的粘贴通道变得不干净。

二维码把一段网址折叠成黑白方块，扫码前几乎看不出它会把你带去哪里。本文讲清二维码钓鱼的常见场景——假领奖台、假充值口、被调换的收款码——以及扫码前、中、后的三步核验方法。

OFAC名单里的加密地址筛查不是复制新闻中的几个地址做字符串搜索。可靠流程要保存官方清单版本、标识地址所属链和实体、规范化待查数据，并把直接命中与风险邻近分开处理。

Safe的FallbackHandler会接收Safe本身未实现的方法调用，因此它可提供签名验证或兼容接口，也可能扩大外部调用面。安全判断不能停在地址非零，还要确认handler由谁设置、代码是什么、当前阈值能否更改。

Snap运行在MetaMask的隔离环境中，但隔离不等于无需审查。安装时真正需要看的，是它请求哪些受限能力、会连接哪些域名，以及这些能力是否与功能相称。本文结合权限请求清单、敏感能力分级和安装后复核，给出核验步骤、失败分支与操作边界。

同一组助记词，在不同电脑上输入，安全性天差地别。本文教你对自己的设备做一次可动手的月度体检：清理远程控制通道、检查常驻软件、收紧剪贴板与权限，把资产操作的「地面」扫干净。

单私钥结构下，一个人的失误、失联或胁迫就是全部资产的风险。本文用中立视角解释多签与时间锁各自解决什么问题、日常使用成本在哪，并给出一份不含具体产品推荐的数字资产继承自查框架。

跑路不是一瞬间的意外，而是权限、流动性与代币分配埋好的结构。本文教你在投入前阅读项目最关键的三份「体检报告」：流动性锁、合约可变更权限与持币地址分布，并给出风险信号的排查顺序。