网址打对了还是进了假站，域名劫持这课得补上

10月30日深夜到31日凌晨，12个去中心化金融网站的域名同时出了问题。安全公司 Blockaid 在31日凌晨3点16分世界协调时点名，这12个站都在给访客推送同一套叫 Step Drainer 的盗币工具，其中包括 Flap、Kintsu、Pickle Finance 和 Origami Finance。它们的共同点是域名都注册在同一家注册商 Name.com，Name.com 在31日确认，部分客户域名在30日深夜被不当重定向，域名已经恢复，受影响的客户域名是15个，比 Blockaid 点名的12个还要多。项目方随后都说了一句关键的话，智能合约没有被动，丢钱的是在那段时间打开网站、连了钱包又签了名的人。

损失现在还没有一个统一数。The Block 顺着链上查到约13.8万美元进了攻击者的三个钱包，Bitquery 按受害人算，32个钱包一共丢了约20.2万美元，其中大头来自 Monad 上一个 Kintsu 用户。两个数口径不一样，而且都不含 Solana 和 Aptos 上的损失，所以真实总数可能更高。散户最容易中招的地方也在这里，地址栏打对了，页面看起来也正常，真正的破绽藏在钱包弹窗里。Kintsu 特别提醒，这次用到的是一种钱包授权签名，签完等于把账户的操作权交给另一个合约，事后再去取消代币授权也补不回来。

三件事现在就能照做。第一，签名前把钱包弹窗逐字看完，换币或者存入用不着交出全部代币的权限，更用不着把整个账户交给另一个合约，权限比你要做的事大，或者看不懂，就点拒绝。第二，钱分开放，平时连网站的钱包只放小额，存钱的钱包从不连任何网站，日常钱包就算被掏，存钱的那个也不动。第三，如果你在30日深夜到31日这段时间连过这些站、签过东西，先按项目方自己的官方说明办，签过授权签名的，光取消授权不够，把剩下的钱转到一个全新助记词的新钱包里。事后凡是私信你说能帮你追回的人，一律不信，正规项目方不会先私信你，更不会要你的助记词和私钥。

你平时连钱包之前，会逐字看钱包弹窗里那行权限吗，还是习惯直接点确认？

#钱包安全 #防骗 #DeFi #域名安全

—— web3韭菜小凯
以上只是我个人的看法，不构成投资建议。