针对加密从业者的精准钓鱼，往往不始于恶意链接，而始于一份流出的内部通讯录：姓名、职位、汇报线齐备后，冒充上级、财务或同事的话术才有抓手。本文讲清通讯录类材料的四种常见外流路径、被拿到后的攻击组装方式，以及个人与团队各自的降险清单。

以小团队为例，讲交易所主账户与子账户、只读与交易与提币三类 API 权限的切法，以及成员入职、换岗、离职三个节点的权限交接与撤销清单，给出一套最小权限的落地顺序。