作者：INSIGHTFUL；编译：深潮 TechFlow
本指南无法保证任何内容，并不是从「加密或网络安全专家」的角度编写的，而是基于多个来源和个人经验的不断学习成果。
例如，我自己在刚进入这个领域时就曾因害怕错过（FOMO）和贪婪而受骗（假直播诈骗和假 MEV 机器人诈骗），因此我花时间认真学习、设置和理解安全性。
不要成为那个因为失去一切或大量资产而被迫学习安全的人。
所有类型的钱包、代币或 NFT 的「黑客攻击」或妥协大致可分为两类：
滥用先前授予的代币批准。
私钥或助记词泄露（通常发生在热钱包上）。
代币批准实际上是允许智能合约访问并移动您钱包中特定类型或数量的代币的权限。
例如：
给予 OpenSea 权限以移动您的 NFT，以便您可以出售它。
给予 Uniswap 权限以使用您的代币进行交换。
作为背景信息，基本上以太坊网络上的一切，除了 ETH，都是 ERC-20 代币。
ERC-20 代币的一个特性是能够授予其他智能合约批准权限。
如果您想进行核心 DeFi 交互（如交换或桥接代币），这些批准在某个时候是必需的。
NFT 分别是 ERC-721 和 ERC-1155 代币；它们的批准机制与 ERC-20 类似，但适用于 NFT 市场。
MetaMask (MM) 的初始代币批准提示提供了几条信息，其中最相关的是：
您正在授予批准的代币
您正在与之互动的网站
您正在与之互动的智能合约
编辑代币权限数量的能力
在完整详情下拉菜单中，我们看到一个额外的信息：批准功能。
所有 ERC-20 代币必须具有 ERC-20 标准所概述的某些特性和属性。
其中之一是智能合约可以根据批准的数量移动代币的能力。
这些批准的危险在于，如果您将代币权限授予恶意智能合约，您的资产可能会被盗或耗尽。
许多 DeFi 应用默认会提示您对 ERC-20 代币进行无限制批准。
这样做是为了改善用户体验，因为它更方便，不需要未来可能的额外批准，从而节省时间和 gas 费用。
允许对无限数量的代币进行批准可能会让您的资金面临风险。
手动将代币批准设置为特定数量，可以限制该 dApp 在未签署新的更大额度批准之前，能够移动的代币最大数量。
这样可以降低您在智能合约被利用时的风险。如果您对某个 dApp 授予了无限制的批准，而该 dApp 出现漏洞，您可能会失去所有已批准的代币，这些代币来自持有这些资产并授予该批准的钱包。
例如，Multichain WETH（WETH 是 ETH 的 ERC-20 代币包装）就曾遭遇过这样的漏洞。
这个常用的桥接因滥用以前的无限制代币权限而被攻击，导致用户资金被盗。
下面是一个示例（使用 Zerion 钱包），展示如何将默认的无限制批准更改为手动批准。
「setApprovalForAll」用于 NFT
这是一个常用但潜在危险的批准，通常在您想出售 NFT 时授予值得信赖的 NFT 市场。
这使得市场的智能合约能够转移您的 NFT。因此，当您将 NFT 出售给买家时，市场的智能合约可以自动将 NFT 移动到买家那里。
此批准授予对特定集合或合约地址的所有 NFT 代币的访问权限。
这也可能被恶意网站或合约用来窃取您的 NFT。
经典的「钱包账户缩水」在 FOMO 免费铸造的情况下是这样的：
用户访问一个他们认为是合法的恶意网站。
当他们将钱包连接到网站时，网站只能查看钱包的内容。
然而，恶意网站会扫描钱包中最高价值的 NFT，并提示用户从 MetaMask (MM) 对该 NFT 的合约地址进行「设置所有批准」。
用户以为自己在铸造 NFT，实际上却是在授予恶意合约移动这些代币的权限。
随后，骗子盗取代币，并在物品被标记为被盗之前，将其清算到 OpenSea 或 Blur 的出价中。
批准需要支付 gas 费，因为它们涉及交易处理。
签名则无需 gas ，通常用于登录 dApp，以证明您对该钱包的控制权。
签名通常是低风险的操作，但仍可能被用来利用先前授予的对像 OpenSea 这样的可信网站的批准。
对于 ERC-20 代币，您还可以通过无 gas 的签名修改您的批准，因为最近在以太坊上引入了允许功能。
如果您使用像 1inch 这样的去中心化交易所（DEX），可以看到这一点。
在给予任何批准时要谨慎，确保您知道自己在批准哪些代币以及对哪个智能合约（可利用 etherscan）。
限制您的批准风险：
使用多个钱包（批准是特定于钱包的）——不要对您的保险库或高价值钱包签署批准。
理想情况下，减少或完全避免对 ERC-20 代币授予无限制批准。
定期通过 etherscan 或 revoke.cash 检查和撤销批准。
热钱包通过您的计算机或手机连接到互联网，密钥和钱包凭证在线或本地存储在您的浏览器中。
冷钱包是硬件设备，密钥在完全离线的状态下生成和存储，并且物理上靠近您。
考虑到一个 Ledger 的价格大约为 0，如果您有超过 00 的加密资产，您可能应该购买并设置一个 Ledger。您可以将 Ledger 钱包连接到您的 MetaMask (MM)，以便在保持一定安全性的同时享有与其他热钱包相同的功能。
Ledger 和 Trezor 是最受欢迎的选择。我喜欢 Ledger，因为它与浏览器钱包（类似于 Rabby 和 MM）的兼容性最好。
始终从官方制造商网站购买，切勿在 Ebay 或 Amazon 上购买——可能会被篡改或预装恶意软件。
确保您收到物品时包装是密封的。
第一次设置 Ledger 时，它会生成一个助记词。
只能将助记词写在物理纸上，或者在未来将其写在钢板上，以确保您的助记词短语防火防水。
绝不要拍摄或在任何键盘（包括手机）上输入助记词——这会将助记词数字化，您的冷钱包将变成不安全的热钱包。
加密资产并不是存储在硬件钱包上，而是「在」由助记词短语生成的钱包中。
助记词短语（12-24 个单词）是所有的一切，必须不惜一切代价保护和安全。
它提供对所有在该助记词短语下生成的钱包的完全控制和访问权限。
助记词不是特定于设备的，您可以将其「导入」到另一个硬件钱包中作为备份（如果需要）。
如果助记词丢失或损坏，并且原始硬件钱包也丢失、损坏或被锁定，您将永久失去对所有资产的访问权限。
有多种助记词存储方法，例如，将其分成多个部分，增加部分之间的物理距离，存放在不明显的地方（例如，冰箱底部的汤罐，您财产地下的某个地方等）。
至少您应该有 2-3 份副本，其中一份应为钢制，以防水和火灾。
「私钥」类似于助记词短语，但仅针对一个特定钱包。它通常用于将热钱包导入新的 MetaMask (MM) 账户或在自动化工具（如交易机器人）中使用。
除了原始的 24 个单词助记词，Ledger 还提供一个可选的额外安全功能。
密码短语是一项高级功能，可以将您选择的最多 100 个字符的第 25 个单词添加到您的恢复短语中。
使用密码短语会生成一组完全不同的地址，这些地址无法仅通过 24 个单词的恢复短语访问。
除了增加安全层，密码短语在您受到威胁时还能提供合理的否认。
如果使用密码短语，务必安全存储或准确记住它，逐个字符并区分大小写。
这是针对「 扳手攻击」这种身体威胁情况的唯一和最终防御措施。
为什么要经历这么多麻烦来设置硬件钱包？
热钱包将私钥存储在连接到互联网的位置。
通过互联网被欺骗、误导和操纵以泄露这些凭证是极其简单的。
拥有冷钱包意味着，骗子需要物理上找到并获取您的 Ledger 或助记词才能访问这些钱包及其内部资产。
助记词一旦被泄露，所有热钱包及其中的资产都将面临风险，即使那些没有与恶意网站或合约互动的资产也不例外。
过去人们通过热钱包遭遇「黑客攻击」（助记词短语泄露）的常见方式包括：
被欺骗下载恶意软件，例如通过工作机会 PDF、测试版游戏、通过 Google 表格运行宏，或模仿合法网站和服务。
与恶意合约互动：在模仿网站进行 FOMO 铸造，或与未知空投或接收的 NFT 合约互动。
将密钥和助记词插入或发送给「客户支持」或相关程序 / 表单。
比特币可以被监管吗？比特币是一种基于区块链技术的加密货币，它的去中心化特性使得监管变得非常困难。然而，随着比特币的不断发展和应用，监管机构对其进行监管的需求也越来越强烈。首先，需要明确的是，比特币的去中心化特性使得没有单一的监管机构可以完全控制它。比特币的发行、交易和存储都是通过区块链网络进行的，每一个参与者都可以参与其中，没有中央机构可以干预或控制。这意味着没有人或组织可以直接对比特币进行监管。
USDT是否有赞助或奖学金计划？USDT（美元稳定币）作为一种加密货币，其市场份额及应用范围在近年来快速增长。随着加密货币在全球范围内的普及，很多人都对USDT是否提供赞助或奖学金计划感兴趣。虽然USDT本身并未公开宣布面向个人或机构提供赞助或奖学金计划，但USDT所属的Tether公司在某种程度上支持加密货币相关的项目和教育。首先，USDT的发行主体Tether公司对于发展加密货币生态系统有一定
POOP币是一种虚拟货币，近年来在加密货币市场中引起了广泛的关注。然而，对于那些考虑投资POOP币的人来说，了解它的风险是至关重要的。首先，POOP币存在着价格波动的风险。像其他加密货币一样，POOP币的价格受到市场供需的影响。投资者可能会面临价格大幅波动，甚至可能会亏损他们的投资。由于加密货币市场的不可预测性，投资者需要在购买POOP币之前认真考虑这一风险。其次，POOP币也存在着技术风险。虽然
以太坊是什么以太坊是一种基于区块链技术的开放性平台，旨在创建和运行智能合约。与比特币等其他加密货币不同，以太坊不仅仅是用作数字货币，而且还能实现更多的应用和功能。智能合约以太坊最重要的应用就是智能合约。智能合约是一种能够自动执行、验证和强制执行合约条款的计算机程序。通过以太坊平台，开发者可以使用Solidity等编程语言编写智能合约，实现自动化的合约执行。去中心化应用以太坊还支持去中心化应用（Da
XRP是否有API支持？在数字货币的世界中，应用程序接口(API)扮演着至关重要的角色，它为开发者提供了访问和与区块链网络进行交互的能力。XRP作为全球最大的加密货币之一，在交易和转账方面的速度和效率使其备受关注。那么，XRP是否有API支持？答案是肯定的。XRP提供了一系列的API，开发者可以利用这些API构建应用程序、创建钱包、执行交易以及获取账户余额等功能。下面将介绍几个常用的XRP API
POWR币（Power Ledger）是一种基于区块链的能源交易平台，旨在通过分散的能源交易和数据管理来改变能源市场。作为加密货币市场中的一员，POWR币在过去几年中吸引了许多投资者和技术爱好者的关注。那么，POWR币有希望吗？要回答这个问题，需要对POWR币的基本面和未来发展进行分析。首先，POWR币的基本面非常强大。作为能源交易平台的代币，POWR币的应用场景广泛。它通过区块链技术实现了可靠的
比特币的代码是开源的吗？比特币是一种数字货币，创造于2009年。它的创始人是中本聪（Satoshi Nakamoto），但是迄今为止，中本聪的真实身份仍然是个谜。比特币的代码是开源的，这意味着任何人都可以查看、复制、修改和分发它的源代码。比特币的开源性对于其发展和推广起到了至关重要的作用。它使得开发者可以共同参与比特币网络的建设和改进，为整个系统的安全性、可扩展性和稳定性做出贡献。以下是几个关于比
DeFi平台可以信任吗？随着区块链技术的发展，DeFi（去中心化金融）平台开始受到越来越多的关注。DeFi平台旨在消除传统金融机构的中心化问题，通过智能合约和区块链技术实现金融服务的去中心化。然而，对于投资者和用户来说，最重要的问题之一就是DeFi平台是否可信。本文将讨论DeFi平台的可信度。1. 透明度和全球参与DeFi平台的一大优势是透明度。区块链技术使所有交易记录都公开可见，任何人都可以查看
比特币可以作为支付手段吗？比特币是一种去中心化的数字货币，它在近年来引起了广泛的关注和讨论。由于其特殊的性质和技术基础，人们开始思考和探索比特币作为一种支付手段的可行性。1. 去中心化和即时支付比特币的去中心化特性使其可以直接在用户之间进行交易，无需通过传统金融机构的中介。这意味着支付可以更加迅速和即时，不受时间和地点的限制。无论是国际还是国内支付，比特币都可以提供高效的解决方案。2. 低成本和低
10 瑞波币涨了3000万倍吗
瑞波币涨了3000万倍：从默默无闻到引领加密货币市场加密货币市场一直以来都是一个充满变数和不确定性的领域。在众多数字货币中，有一种被誉为“银行的数字货币”，它就是瑞波币（Ripple，简称XRP）。自2012年诞生以来，瑞波币已经经历了重大的增长，甚至传闻其涨了3000万倍。这篇文章将从各个方面探讨瑞波币的崛起以及其支撑瑞波币涨幅的因素。瑞波币的起步瑞波币是瑞波（Ripple）公司旗下的数字资产，
