很多人以为：只要网址没输错、App 是从官方商店下的，就不会被盗。这周两件真事，正好把这个想法打穿了。

一、本周发生了什么

1）域名被劫持：10 月 30 日夜里到 31 日凌晨，注册商 Name.com 下有 15 个 DeFi 项目的域名被人改了 DNS，包括 BSC 上的发币平台 Flap、Kintsu、FluxBeam、StonkFun 等。用户输入的是正确网址，打开的却是攻击者的仿站，页面里挂着 Step Drainer 盗币工具。Bitquery 统计，几个小时里 6 条链上 32 个钱包被盗约 20 万美元，而且每一笔都是受害者自己签的名。项目方的合约本身没出问题，出问题的是"网页"。

2）App Store 里的假 App：一个冒充 Solana 交易工具 Padre 的 App 上架了苹果商店，用户导入私钥后钱包被清空。链上调查者 Iris 统计，从 10 月 25 日起 27 个钱包被盗约 2.3 万美元，攻击者还把 $USDC 换成了 $SOL，避免被冻结。真正的 Padre 只有网页版，根本没有手机 App。同期还发现了冒充 Axiom、GMGN 等工具的可疑 App。

结论：官方网址、官方商店，都不等于安全。真正的最后一道关，是你按下"签名"之前的那几秒。

二、签名前的 4 步自查

第 1 步：看弹窗在要什么。正常的交互一般是 swap、mint、存款，金额和你预期一致。只要出现 approve / setApprovalForAll / permit / increaseAllowance，并且授权额度是"无限"，先停下来。

第 2 步：看收款方和合约地址。钱包弹窗里显示的合约地址，和项目官方文档、推特置顶里公布的是否一致？对不上就关掉。

第 3 步：看"你只是登录"却要签交易。连接钱包本身不花钱。如果一个页面"领空投""验证资格"就要你签交易或签一串看不懂的 Permit 数据，基本可以判定是钓鱼。

第 4 步：看时间点。项目方突然发公告"暂停使用前端"、安全公司发警报时，哪怕你常用的网站也先别签。关注项目官推和 Blockaid、慢雾等安全账号，比任何技巧都管用。

三、下载 App 的 3 条规矩

1. 只从项目官网给出的链接跳转去商店下载，不在商店里直接搜名字。

2. 看开发者名称、下载量和评论。开发者名对不上、评论里有人喊"被盗"，立刻删除。

3. 任何让你"导入私钥/助记词"的交易工具，一律不用。正规的交易终端是连接钱包，不是要你的私钥。

四、已经签了怎么办

1. 马上去 revoke.cash 或钱包自带的授权管理，撤销可疑授权（$BNB 链上记得留一点 BNB 做 gas）。

2. 如果输入过私钥或助记词，这个钱包视为已泄露：新建钱包，把剩余资产转走，旧钱包不要再用。

3. 撤销授权只能防止"之后"再被转走，已经转走的追不回。警惕任何收费"帮你追回资金"的人，那往往是第二轮骗局。

五、给新手的一句话

把大额资产放在只用来存、从不乱签的钱包里；玩 Meme、领空投、免费 mint，用单独的小钱包，里面只放当次要用的钱。这样就算哪天点进了被劫持的网站，损失也有上限。

最近不少人在陆续提现、转钱包，转账前请把地址前后各核对 4 位，别图快。

DYOR，非投资建议。

#币安陆续恢复多个资产及网络提现服务 #币安更新储备证明地址