黑色十月又来了-加密圈被针对的其实是钱包不是交易所

每到十月，全球网络安全就会进入高发期，各类黑客 campaigns 密集启动。但对加密用户来说，真正该紧张的不是"又一家交易所被黑了"，而是针对个人钱包的攻击--你的私钥、你的授权、你的签名请求，这些东西被盗走的概率比交易所被黑高得多。

Binance全球顶级交易所 v3.22.3

类型：金融理财大小：306.0M语言：多国语言[中文]时间：10-25评分：10.0

针对加密钱包的六种常见手法

1. 签名钓鱼：伪造网站弹出"验证钱包"或"授权USDT"弹窗，签名内容其实是给你转币的授权。

2. 剪贴板木马：复制地址时被悄悄替换成攻击者的地址，转账时毫不知情。

3. 假冒客服：Telegram、Discord上冒充交易所客服，骗你提供助记词或导出私钥。

4. 恶意浏览器扩展：劫持钱包扩展的签名操作，或在页面注入假交易确认框。

5. 私钥生成器：假钱包App会同时把你的助记词传回服务器，你第一次转币时资产就全部转走了。

6. 社交工程投毒：以空投、领取活动为名的恶意合约，签名即授权。

欧易okx交易所 v6.194.0

类型：金融理财大小：540.5M语言：中文时间：10-23评分：10.0

防护措施要落到具体动作

1. 助记词永不输入任何网页和对话框：客服不会要，客服也不会帮你恢复，这个说法本身就是诈骗标志。

2. 交易前核对地址前6位和后6位：不用完整地址肉眼比，截取头尾比对更可靠。

3. 授权先看额度：任何DeFi交互前先看授权额度，无限额度要撤销，代币精确授权优于无限授权。

4. 硬件钱包隔离签名：重要资产放在硬件钱包里，软件钱包只放小额资金。

5. 分离日常钱包和冷钱包：大额资产长期不动的钱包，公网上不主动提及地址。

6. 关闭不必要的浏览器扩展：钱包扩展的权限最小化，减少被劫持面。

交易所被黑和私钥被盗不是一回事

1. 交易所被黑：你的币还在交易所账户里，平台会赔付（历史上有FTX、Ronin等案例），属于平台风险。

2. 私钥泄露：你的币直接转到攻击者地址，没有任何机构能帮你追回，属于个人风险。

3. 授权被盗：攻击者可以在你不转币的情况下把币转走，这类攻击在链上事后可查，比私钥泄露更隐蔽。

4. 优先级：个人风险的期望损失远高于平台风险，防护重点应该在钱包侧。

检查清单：这5件事今天就能做

1. 检查所有钱包的授权列表，撤销不再使用的合约授权。

2. 检查邮箱和交易所的API密钥，删除不认识的授权IP和提币权限。

3. 更新操作系统和浏览器到最新版本。

4. 确认备份的助记词是离线纸质或金属件，且从未被拍过照存网盘。

5. 安装钱包前从官网下载，避开搜索广告和应用商店的同名仿冒App。