# 5000字说透Web3钱包和网络安全，看完你应该不会再被盗了吧 By [7777777999999.eth](https://paragraph.com/@7777777999999) · 2023-07-07 --- 本篇文章开始前，笔者首先要感谢慢雾、[Secure3.io](http://secure3.io/)、Panews、区块律动、web3caff以及推特大佬@jason\_chen998。为了保护我的钱包，笔者翻阅他们提供的大量盗窃案例和安全教程，以及与Secure3的朋友简单交流之后，才写出这篇文章。 **这是一篇关于Web3钱包及个人设备安全的指引，希望大家可以在遨游区块链世界的时候，免受攻击，守住自己的财产。** [https://opensea.io/assets/ethereum/0x288D3F850AC502dB592B87160C7a0C77138532F6/0](https://opensea.io/assets/ethereum/0x288D3F850AC502dB592B87160C7a0C77138532F6/0) 之所以写下这篇文章，是因为我作为一个从小学就开始学编程用电脑的老鸟，前不久自己也差点被骗走一双stepn的鞋子。**这才意识到，安全问题离我们每个人都很近。** **一、你所有的操作都有泄露隐私的风险** --------------------- 网络世界的安全问题实际上一直萦绕从所有人的头上。 **关于安全的知识庞杂而又繁琐，我们首先要掌握一个原则，计算机世界里，几乎没有安全的地方，甚至你的每一步操作都有泄露隐私的风险。** 电影海报：《我是谁：没有绝对安全的系统》 之前也有很多人做过这方面的科普，但要么过于简单、要么过于复杂。这篇文章里，我准备用最简单、易懂的语言，让尽可能多的人读懂。 具体来说，我们需要关注的安全问题应该包括一下几个方面：情绪控制、web3钱包的使用、设备的使用、个人隐私保护。 **二、情绪是你最大的敌人** --------------- 这里我继续说一下自己stepn鞋子差点被盗的经历，希望对大家会有一些警示作用。 前不久我弄了一双stepn鞋子想给家人使用，由于鞋子始终不能正常运行，无法获得gst。我每天通过邮件和Discord与官方客服交流，但始终没解决问题。**这时我因为一直无法赚到gst变得有些焦虑，在无意中发现有Stepn的“客服”通过私信与我交流**。客服表示这个问题是由于服务器维护导致的（刚好那段时间确实不稳定），只要提供账号邮箱和**验证码确认身份**就能解决问题。\*\*重点来了，由于国内很多服务都是需要提供验证码以验证本人身份，加上邮件上只写了”complete verication”而没有提示验证码具体的作用，特别是自己也已经很焦虑。\*\*收到验证码后，我没想太多复制了验证码。所幸在我按下“回车”的那一刻突然清醒过来，”**We will never DM you**”这句discord名言突然在脑中回响，我立即停止了所有的操作。然后来到stepn的服务器验证，发现所谓的”客服“果然是骗子。 Discord可谓是骗子聚集地，项目方一般都会有明显的提示 回过神来，才发现一双价值几千刀的鞋子就这么差点被“客服“骗走，真是凶险万分。 **后来我看了许多安全方面的资料。发现焦虑和傲慢这两种情绪是我们在区块链世界最大的敌人。** ### **1、焦虑** 大部分人都像我一样，来到区块链世界是为了赚钱的。**但只要涉及到金钱，难免会产生fomo、焦虑的情绪**，例如前几天GAL首发的时候有人以200刀的价格入场，又如有的NFT玩家在开盘前被骗到了假的网站mint…… **总之，焦虑是所有投资人的大忌，一旦与钱打交道的时候，一定要想办法保持冷静。** ### **2、傲慢** 与焦虑相反的一面是傲慢。许多人认为自己是行业大佬，上知区块链技术下知汇编语言，熟知各类骗术，怎么可能会被骗？但恰恰是这样的傲慢，才会属于防范，前不久就发生过Defiance Capital创始人Arthur Cheong钱包被盗的事件。**据报道，Arthur Cheong只是中了一个最常见的攻击方式：打开了邮件里带有病毒的文件。** 所谓“骄兵必败”，不少人的事业在处于上升阶段的时会以为自己总是对的那一个，忽略了很多其他方面的问题，等到灾难降临的时候已经一切归零。 **三、如何安全使用web3钱包** ------------------ 前面是从人性的角度讲述可能的攻击手段，现在我们从大家最关心的钱包安全开始，说一些大家最关心的问题。 ### **1、冷钱包、热钱包、交易所** 我们的代币有三个地方可以存放。其中以冷钱包最为安全，如Ledger。对于大多数人来说，只要做好密码保护和双重验证，交易所实际上会比热钱包更安全；我们的热钱包因为时刻在链上，一旦发生错误的授权，资产就很容易被转移。 ### **2、USDT的潜在风险** 很多人以为USDT很安全，其实USDT是由Tether公司管理的，一旦被认为是黑钱，Tether可以轻松冻结这一笔钱。所以遇到不明来源的USDT最好还是小心点。同理，需要注意的是USDC，也是会被冻结的。 ### **3、钱包的各类交互操作。** 先说一个大家最容易犯错的地方，就是签名（sign）。**一般认为签名不涉及授权，不会有操作风险，但是遇到非明文写下的签名，还是有安全隐患的**，好在现在metamask都会用红字提示。 看到0x开头的字符串一定要小心 **除签名外，最常用的一个功能是授权（approve）**。这决定了你授权了对方某个币种可以自由使用的额度，一般来说像常用的Uniswap这类的DEX比较安全，但是一旦遇到新的项目要求你无限转账额度的授权，就一定要小心了。**黑客们最喜欢用的一招就是让你在焦虑（新项目mint时）、兴奋（突然收到貌似大额的空投）、沮丧（反复被骗）等情绪下，将你骗到一个假冒网站，让你无意中将授权交给他。** --- *Originally published on [7777777999999.eth](https://paragraph.com/@7777777999999/5000-web3)*