#Web3SecurityGuide

Web3 安全指南：全面深入解析所有核心层面及真实最佳实践

第一层：钱包设置
使用硬件钱包作为金库，使用热钱包进行日常操作，并保持标签清晰
采用双设备规则：一台干净设备用于金库，另一台日常设备用于 Web3
启用 PIN 和密码短语，禁止盲签；为提现添加白名单，并对新地址设置 24 小时锁定
永远不要将同一个钱包重复用于金库、空投、测试和 degen 活动
正面案例：用户将 90% 的资金存放在硬件金库中，10% 存放在热钱包中；热钱包被清空，但金库保持安全
反面案例：用户将一个钱包用于所有用途，并在一次钓鱼攻击中损失全部资金

第二层：助记词和密钥
将助记词离线保存在金属介质上，绝不要放在云端、邮件、手机备忘录、浏览器或聊天中
如果资金规模较大，使用 Shamir 方案拆分助记词，通过模拟操作测试恢复流程，并将拆分后的部分存放在两个地理位置分离的保险箱中
绝不要将助记词输入网站、表单或应用，也绝不要在屏幕共享或照片中展示
绝不要将私钥文件存放在桌面或下载文件夹中
反面案例：用户将助记词存储在云端备忘录中，云端遭到钓鱼攻击，所有资金在几分钟内损失
第二个反面案例：用户将助记词写在纸上，纸张被水浸湿并丢失，且没有备份，因此资金永远无法取回

第三层：钓鱼和虚假链接
假冒公告、虚假空投和假冒客服私信是资金被清空的主要来源
始终收藏官方域名，绝不要点击来自私信、邮件或广告横幅的链接
逐字检查 URL，并留意同形异义字符、多余的短横线和虚假的顶级域名
为 Web3 使用独立的浏览器配置文件，拦截弹窗，禁用自动连接，并使用交易模拟功能
反面案例：一个看起来与真实网站完全相同的虚假代币发布网站要求无限授权，用户点击后钱包被清空
第二个反面案例：虚假的钱包更新注入恶意代码，并通过剪贴板替换收款地址
第三个反面案例：虚假服务台要求用户使用远程工具，并窃取扩展钱包的金库文件

第四层：授权和 Permit
无限授权会一直保持开放，直到你撤销；攻击者之后仍可利用它
使用有限额度和一次性授权，并每周通过撤销工具撤销授权
检查授权目标是合约而不是 EOA，并检查其存续时间、交易数量和已验证源码
避免签署允许 spender 无需支付 gas 即可转移代币的 Permit 和元交易
避免签署你无法阅读的 typed data，也避免签署盲 hash
反面案例：用户为 farm 授予无限 USDT 授权，farm 遭到攻击后，攻击者数月后利用开放授权清空了用户的 USDT
第二个反面案例：用户为领取免费 NFT 签署 Permit，而该 Permit 赋予攻击者完整的 USDC 消费权限

第五层：合约和代码风险
通过审计不代表安全，但没有审计意味着高风险
检查 TVL、项目年龄、团队记录、漏洞赏金、多签、时间锁、代理合约和所有者密钥
避免低流动性、高收益的分叉项目，以及匿名团队、单一所有者密钥和铸币函数
在签署前使用模拟工具预览余额变化和代币流向
反面案例：某分叉项目复制了代码，却添加了隐藏的铸币功能；开发者铸币后抛售
第二个反面案例：某金库使用低流动性价格源，遭遇闪电贷和价格操纵攻击

第六层：桥和跨链
跨链桥持有大量资金池，是主要攻击目标，并且具有复杂的中继器和证明逻辑
先进行小额测试交易，并验证链 ID 和地址格式，等待最终确认
避免使用审计不足、TVL 较低且只有单一验证者的新桥
反面案例：某跨链桥通过虚假证明遭到攻击，攻击者铸造虚假封装代币并兑换成真实资产
第二个反面案例：用户发送到错误的链 ID，将资金发送到另一条链上的相同地址，由于无法恢复而损失资金

第七层：设备和账户操作安全
使用独立邮箱和强密码，使用基于身份验证器应用的 2FA，并为高价值登录使用硬件密钥
轮换 API 密钥并限制 IP，锁定提现白名单；不使用保证金和期货功能时将其禁用
锁定设备，使用后清除缓存并退出登录，扫描恶意软件，避免使用破解工具和盗版机器人
反面案例：交易员在论坛和交易平台重复使用同一密码，论坛遭到入侵后，API 密钥被用于清空资金
第二个反面案例：交易员安装破解机器人，机器人窃取了密钥文件

第八层：社交和人为风险
绝不要在公开场合分享盈亏、钱包规模、助记词和位置
转账前通过第二渠道验证对方身份，并先进行小额测试
团队金库使用多签，并设置门槛、时间锁和基于角色的访问权限
反面案例：团队金库使用单一密钥，密钥持有人失联，资金被锁定

第九层：恢复计划
准备好备用钱包，并在每条链上存放少量 gas 资金
如果发生资金被清空，立即通过私有 RPC 将剩余资金转移到干净钱包，以避免被抢跑
使用干净设备撤销授权，并记录交易哈希和资金流向，向团队报告，并在区块浏览器中添加标签
离线记录钱包、联系人和安全地址

专业交易员每日检查清单

一、检查官方文档和区块浏览器中的域名及合约地址
二、模拟交易并阅读余额变化和授权变化
三、设置低额度和一次性授权
四、先测试小额
五、记录所有操作，每周复盘，并停用薄弱工具和不良习惯

心态

安全是一种习惯，而不是一次性工作
坚持进行日常的小幅度安全维护，配合硬件钱包、有限授权、验证、尽量减少信任假设和快速撤销，就能保护资金安全
专注于流程而不是运气，目标是建立可重复的安全操作流程