币安新人福利 · 享 20% 手续返佣

新用户注册享20%手续返佣

邀请码BINANBT

立即注册币安

✅ 立即注册自带邀请码，无须额外填写

⚠️ 注册后需完成身份认证（KYC）才能交易与提币

⏳ 点击后约需 2–5 秒打开注册页，请耐心等待，勿重复点击

Web3 安全 • 2026/11/8 • 更新于 2026/11/8 • 作者：CoinVado Research • 13 阅读 • 14 分钟

个人 Web3 安全清单 2026：每天 3 分钟、每周 15 分钟该查什么？

Web3 安全不是把助记词藏好就够了：2026 年 1 月签名钓鱼让 4,741 人损失 627 万美元，单笔最大 302 万美元，多数人的助记词根本没丢。本文把个人安全检查拆成每天 3 分钟、每周 15 分钟、每月 60 分钟、每季度 2 小时四档，覆盖签名核对、授权与 EIP-7702 委托、地址投毒、2FA 与提币白名单、恢复演练，并给出被盗后 30 分钟止损顺序。

⚠️ 先看这条： 安全清单能帮你少踩坑，但账户本身要先有。通过**注册链接（如「立即注册」）**或输入邀请码 BINANBT 注册币安，才有新手奖励（20% 手续费返佣 + 最高 $19,800 迎新礼包）。安全习惯和注册入口是两件事，先把入口弄对，再谈怎么守住资产。

核心要点（TL;DR）：

2026 年最大的损失，往往不是助记词被偷，而是你自己签了名。 ScamSniffer 2026 年 1 月记录到约 627 万美元签名钓鱼损失、4,741 名受害者，其中两名受害者占了约 65%，单笔最大 302 万美元——这些人多数没有丢助记词。

安全检查要按频率分层。 每天 3 分钟管「签名前」，每周 15 分钟管「授权与设备」，每月 60 分钟管「账户与资产结构」，每季度 2 小时管「恢复演练与地址轮换」。

三类风险，三种打法。 私钥泄露靠离线备份和硬件钱包；签名与授权靠「每次签名都当转账审」；平台托管靠分散存放和提币演练。

2026 年要新增两项检查。 EIP-7702 全账户委托和地址投毒，是传统「助记词清单」完全没有覆盖的两种损失路径。

被盗后的前 30 分钟决定还能挽回多少。 顺序是：先转移剩余资产，再撤销授权，再留证、联系交易所和报警，最后才是复盘。

不同资金量做到不同档位。 1,000 美元以下不必上多签，5 万美元以上还只靠一个热钱包，就是在拿本金赌运气。

一句话答案：把「每次签名」当成一次转账来审
先看损失发生在哪一层
每天 3 分钟：签名前的 5 个动作
每周 15 分钟：授权、设备与登录记录
每月 60 分钟：账户与资产结构
每季度 2 小时：恢复演练与地址轮换
一张总表：什么频率、查什么、用什么工具
2026 年新增的三个风险，老清单没写
被盗后 30 分钟：按这个顺序止损
不同资金量，做到哪一档就够了
💰 币安返佣福利：邀请码 BINANBT
常见问题 FAQ
延伸阅读

一句话答案：把「每次签名」当成一次转账来审

个人 Web3 安全的核心，不是把助记词藏得多深，而是让每一次签名都经过一次「这笔交易到底在干什么」的确认。 助记词泄露是一次性的、低频的，但签名钓鱼是每天都会发生的、高频的；前者靠备份习惯，后者靠操作习惯。

先看一组数字。ScamSniffer 2026 年 1 月的签名钓鱼报告记录到约 627 万美元损失、4,741 名受害者，损失金额环比上升 207%，但受害者人数反而下降了 11%——这说明攻击从「广撒网」转向了「钓大鱼」，两名受害者就占了当月损失的约 65%，单笔最大 302 万美元来自一次恶意的 permit / increaseAllowance 签名¹。

这些人的共同点不是「助记词写在云盘里」，而是「看到一个看起来正常的页面，点了一下确认」。所以这份清单的第一原则是：你签的每一个名，都可能是一次不需要你输入密码的转账。

先看损失发生在哪一层

Web3 资产损失可以拆成六层，每层的发生频率、单次损失和防线完全不同。 把六层混在一起谈，就会得出「只要保管好助记词就安全」这种错误结论。

风险层	典型场景	单次损失量级	发生频率	主要防线	检查频率
私钥 / 助记词泄露	假钱包 App、截图存云盘、钓鱼「恢复钱包」	该钱包全部资产	低	离线备份、硬件钱包、官方渠道	每季度
签名 / 授权	恶意 permit、无限额 approve、Permit2、EIP-7702	单链资产到全账户	高	签名前读内容、交易模拟、定期撤销	每天 / 每周
地址投毒 / 转错	从交易历史复制了首尾相同的假地址	单笔转账金额	中	核对完整地址、地址簿、白名单	每次转账
设备 / 浏览器	恶意扩展、剪贴板木马、假输入法	中高	中	干净设备、扩展审计、系统更新	每周
平台托管	交易所被黑、挪用、冻结、破产	平台内全部资产	低但系统性	分散存放、储备证明、提币演练	每月
物理胁迫	上门、绑架、胁迫转账（wrench attack）	全部	低	资产分层、duress wallet、隐私	每季度

Chainalysis 2026 年中期报告记录了 46 起针对加密持有者的物理胁迫事件，上半年已知损失超过 3,000 万美元，其中法国就占了 30 起；入室抢劫在事件中的占比从 2025 年的 14% 升到了 37%²。这一层不在传统「网络安全」的讨论范围内，但对大额持有者来说，它和私钥泄露一样真实。

先判断你当前最大的暴露在哪一层，再决定把时间花在哪。 如果你的资产 90% 在交易所，那么每天检查钱包授权的收益，远不如每月做一次交易所体检；反过来，如果你每天都在链上交互，签名习惯就是第一优先级。

每天 3 分钟：签名前的 5 个动作

每天的三分钟不是让你巡检所有资产，而是让你在按下「确认」之前多停十秒。 80% 的签名钓鱼，靠下面五个动作中的前三个就能挡掉。

动作一：从书签进入，不从链接进入

钓鱼页面最擅长的不是伪造 logo，而是伪造一个和你收藏夹里几乎一样的域名。 常见手法包括把 l 换成 I、把 0 换成 O、多加一个连字符，或者使用 punycode 让地址栏显示成看似正常的中文/西文域名。

做法很简单：把常用的交易所、钱包、DeFi 协议全部加入书签，每次从书签打开；收到「空投领取」「账户异常」「钱包升级」的链接时，不要点，自己从书签进官网核对公告。手机上尤其要注意，地址栏经常被折叠，点一下地址栏看完整域名再操作。

动作二：分清「连接」「签名」和「授权」

钱包弹窗分三种，风险完全不同：连接只是告诉网站你的地址，签名可能改变链上状态，授权则可能让对方动用你的代币。 很多钓鱼页面会用「连接钱包」做第一步降低戒心，然后在第二步弹出真正的恶意签名。

看到弹窗时先问自己三个问题：

这是 Connect、Sign 还是 Approve / Permit？
如果只是连接，为什么需要我签名？
如果我在这个网站不打算做任何操作，为什么会出现签名请求？

动作三：拒绝盲签，看不清内容就不签

盲签（blind signing）是指钱包只显示一串十六进制数据，你根本不知道签的是什么。 恶意 permit、setApprovalForAll、EIP-7702 委托，最常出现在盲签场景里。

现代钱包大多提供交易模拟（transaction simulation），会直接告诉你「签名后你的 X 代币会减少多少、转到哪个地址」。如果钱包不提供模拟，或者页面催促你「立即签署，否则空投失效」，这本身就是红旗。宁可换一个钱包或换一台设备，也不要在看不清内容时签字。

动作四：核对完整地址，不只看首尾四位

地址投毒专门利用「大家只核对首尾几位」的习惯。 攻击者会生成一个首尾字符和你常用地址相同的地址，先给你转一笔 0 USDT 或极小额代币，让这个假地址出现在你的交易历史里；等你下次从历史记录复制地址时，就会把钱转给攻击者。

2025 年 12 月 19 日，一名交易者因此损失 49,999,950 USDT：他先做了一笔小额测试，攻击者看到后生成了首尾匹配的相似地址并植入交易历史，26 分钟后他复制了错误地址³。2026 年 1 月又有一笔 1,225 万美元的同类损失。

做法：转账时不要从交易历史复制地址；使用钱包地址簿或交易所提币白名单；复制后至少核对前 6 位、后 6 位和中间一段；大额转账先发一笔最小金额确认。

动作五：小额测试 + 干净设备

新地址、新网络、新协议，第一次都用最小金额走一遍。 这不是浪费时间，而是用几美元买一次「流程是否正常」的确认。同时，处理大额资产的钱包不要随便装浏览器扩展、不要用来下载来路不明的软件、不要在公共 WiFi 下操作。

每周 15 分钟：授权、设备与登录记录

每周的 15 分钟，重点是清理「已经给出去、但你忘了的权限」。 授权不会因为你关掉网页而消失，它会一直留在链上，直到你主动撤销。

检查一：ERC-20 与 NFT 授权

打开 Revoke.cash，连接钱包，逐条链检查：

有没有**无限额（unlimited）**授权给不认识的合约？
有没有已经不再使用的 DApp 仍然保有授权？
有没有 setApprovalForAll 把整个 NFT 集合交给了某个合约？

撤销时注意两点：一是撤销要付 Gas，把同一条链上的多条撤销合并处理更划算；二是撤销授权不等于换钱包，如果你怀疑私钥已经泄露，撤销只能减少损失，不能恢复安全。

检查二：Permit2 的两层授权

Permit2 把授权拆成了「代币 → Permit2 合约」和「Permit2 → 具体 DApp」两层。 很多用户只撤销了第二层，却不知道第一层的主授权还在；也有用户以为撤销了某个 DApp，Permit2 的签名就失效了。更麻烦的是，未上链的 SignatureTransfer 签名在链上没有任何记录，任何撤销工具都看不见。

具体机制和批量撤销方法，见《Permit2 批量撤销授权指南》。

检查三：EIP-7702 委托

EIP-7702 允许一个普通钱包地址把执行权委托给一份合约，这不是「授权某个代币」，而是「把整个账户交给对方」。 一旦签了恶意委托，攻击者可以在你以后每次转入资产时自动扫走，连撤销前的新充值也不放过。

检查方式：

在 Revoke.cash 的 Delegations 标签页查看当前委托（它目前主要提供查看，撤销通常要在钱包内完成）。
在区块浏览器查看该地址是否有 type 0x04 / SetCode 交易。
在钱包的账户详情里找 Smart Wallets / Delegation / 智能账户 开关，关闭不需要的委托。

撤销 EIP-7702 委托的原理，是再发一笔 0x04 交易，把委托指向零地址。具体按钮名称各钱包不同，以你钱包当前的账户详情页为准。如果你看不懂这个开关，最安全的做法是把这个钱包的资产转到一个全新钱包，然后停用旧地址。

检查四：设备与浏览器

钱包扩展和浏览器是否是最新版本？
有没有装过来路不明的「空投提醒」「MEV 保护」「交易加速」扩展？
处理大额资产的钱包，是否和日常上网、下载用同一个浏览器配置文件？

恶意扩展可以读取你访问的所有页面、替换剪贴板地址、甚至注入交易内容。 最省事的做法是给大额钱包单独建一个浏览器配置文件，除了钱包官网和必要工具，什么都不装。

检查五：交易所登录记录与 API Key

如果你用交易所，每周花两分钟看三件事：

登录设备里有没有陌生 IP 或陌生城市？
API Key 是否只开了必要权限，是否禁用了提币、是否绑定了 IP 白名单？
提币白名单和防钓鱼码是否仍然有效？

具体设置见《币安账户安全设置指南》。

每月 60 分钟：账户与资产结构

每月的 60 分钟，处理的是「一次性设置好、但会随时间失效」的东西。 这些设置不做，平时感觉不到；一旦出事，就是能不能止损的分水岭。

第一件事：把 2FA 从短信换成验证器或 Passkey

短信 2FA 是第二弱的 2FA，最弱的是没有 2FA。 SIM 卡交换（SIM swap）可以让攻击者把你的手机号转到自己手里，短信验证码随之失效。更稳妥的是 TOTP 验证器（Google Authenticator、Authy、1Password 等）或 Passkey/硬件安全密钥。

换的时候注意顺序：先在新设备上绑定验证器，确认能用，再移除旧方式；把恢复码离线保存，不要只存在手机里。交易所的「防钓鱼码」也建议开启，它会在官方邮件里显示你自定的词组，没有这个词组的邮件基本可以判定为钓鱼。

第二件事：设置提币白名单和冷却期

提币白名单的意思是：即使攻击者拿到了你的账号，也只能把币提到你预先批准的地址。 主流交易所支持地址白名单，新地址通常有 24 到 48 小时的冷却期，这段时间正好用来发现异常。

代价是灵活性下降：临时要提币到新地址，需要提前添加并等待。建议把常用的冷钱包地址和法币出金地址提前加好，不要等急用钱时才加。

第三件事：清理 API Key

API Key 是很多人忽略的后门。 检查每个 Key 的权限：只读、现货交易、合约交易、提币，能关的都关；绑定 IP 白名单；不再使用的直接删除。一个拥有提币权限、又没有 IP 限制的 API Key，等于把账户钥匙复制了一份放在服务器上。

第四件事：做资产分层

不要把所有资产放在同一个地方，也不要把所有资产都放在交易所。 一个可执行的起点是：

冷钱包 / 硬件钱包：长期不动的部分，通常占 70% 到 80%。
热钱包：日常交互、小额支付，占 5% 到 10%。
交易所：准备交易或做理财的部分，占 10% 到 20%，具体比例看你的交易频率。

比例不是教条，关键是「任何单一平台的损失，都不应该让你伤筋动骨」。如果你的交易所仓位已经超过总资产的一半，至少把一部分提到自托管钱包。

第五件事：检查备份还在不在

助记词备份不是写完就结束了。 纸张会受潮、褪色、被家人当废纸扔掉；金属板也可能因为存放位置不当而损坏。每月确认一次：备份还在原处、字迹还能辨认、存放位置没有别人知道。

不要拍照、不要存云盘、不要发到聊天工具里「备份一下」。这些动作等于把助记词复制到了你无法控制的服务器上。

每季度 2 小时：恢复演练与地址轮换

每季度的两小时，做的是「真出事时你能不能恢复」的演练。 多数人直到设备丢失、钱包损坏，才发现自己的备份少了一个词、或者根本不知道怎么导入。

演练一：用小额资产走一遍恢复流程

找一个闲置钱包，用你的备份方式恢复一次，确认：

助记词顺序正确、每个词都能辨认；
恢复后的地址和你记录的一致；
恢复后能看到余额、能发起一笔小额转账。

不要在主钱包上反复试错。演练用的钱包里只放几美元，确认流程后把资产转回主钱包。

演练二：检查硬件钱包和固件

硬件钱包是否还在官方渠道购买的原包装里？有没有被预置助记词？
固件是否是最新版本？更新时是否从官方 App 操作？
设备屏幕是否完好、按键是否正常？

硬件钱包的价值在于「屏幕让你在设备上核对地址和金额」。如果你习惯不看屏幕直接确认，这个价值就不存在。

演练三：退役旧地址

交互越多的地址，暴露面越大。 如果一个热钱包已经用过几十个 DApp、签过大量授权、在空投网站留过记录，可以考虑把资产转到新地址，把旧地址退役。退役不是删除，而是不再往里面放主要资产。

演练四：想清楚「如果现在被盗，第一步做什么」

把止损流程写下来，贴在你能看到的地方：

把剩余资产转到一个全新生成的钱包（不要用可能已泄露的旧钱包）。
撤销仍然有效的授权和委托。
记录交易哈希、被盗地址、时间、金额，截图保存。
联系资产流入的交易所，请求冻结相关地址。
向当地警方报案，保留回执。
警惕「付费追回」的二次诈骗。

这六步在真正出事时，比任何技术细节都重要。

一张总表：什么频率、查什么、用什么工具

频率	时间预算	检查项	常用工具	通过标准
每天	3 分钟	签名前核对域名、交易内容、收款地址	钱包交易模拟、书签	能说清这笔签名在做什么
每周	15 分钟	ERC-20 / NFT 授权、Permit2、EIP-7702 委托	Revoke.cash、区块浏览器、钱包设置	没有陌生或无限额授权
每周	5 分钟	交易所登录记录、API Key 权限	交易所安全中心	没有陌生设备、API 权限最小化
每月	60 分钟	2FA、防钓鱼码、提币白名单、资产分层、备份检查	验证器 App、交易所设置	2FA 非短信、白名单有效、备份可读
每季度	2 小时	恢复演练、硬件固件、旧地址退役、遗产/紧急联系人	闲置钱包、硬件钱包官方 App	能独立完成一次恢复
每次转账	30 秒	完整地址、网络、memo/tag、小额测试	地址簿、区块浏览器	首尾和中间都核对过

这张表可以直接当 checklist 用。 如果你只能做一件事，先做「每周 15 分钟的授权检查」；如果你只能做两件事，再加上「每月把 2FA 换成验证器」。

2026 年新增的三个风险，老清单没写

传统安全清单大多停留在「助记词不要截图」「不要点陌生链接」，但 2026 年的损失更多来自签名层。 下面三个风险，值得单独记一下。

风险一：EIP-7702 全账户委托

EIP-7702 在 2025 年 Pectra 升级后上线，允许普通地址委托合约执行代码。它本身是中性的，问题在于钓鱼页面会把它包装成「钱包升级」「启用智能账户」「领取空投前先授权」。一旦签署，攻击者获得的不是某个代币的额度，而是整个账户的执行权。

识别信号： 弹窗里出现 delegate、authorization、set code、upgrade 等字样；交易类型是 0x04；对方是一个合约地址而不是代币地址；页面制造紧迫感。

处理方式： 不签；如果已经签了，在钱包内关闭委托，或把资产转到全新钱包后停用旧地址。

风险二：地址投毒

地址投毒不攻击合约，也不攻击私钥，它攻击的是「你会从历史记录里复制地址」这个习惯。攻击者生成首尾相同的地址，给你转一笔 0 金额或极小额交易，让假地址进入你的历史记录。你下次复制时，就可能复制到假的。

识别信号： 交易历史里出现你没印象的 0 金额转账；收款地址首尾和你常用地址一样，但中间不同；有人催你「按上次的地址再转一笔」。

处理方式： 不从历史记录复制地址；用地址簿或白名单；核对完整地址；大额先小额测试。

风险三：Permit2 子授权

Permit2 把授权拆成两层，导致「撤销了 DApp，但主授权还在」的情况非常常见。更隐蔽的是，Permit2 的 SignatureTransfer 可以完全在链下签名，不上链就没有记录，任何撤销工具都看不到。

处理方式： 把 Permit2 主授权纳入每周检查；对不认识的 DApp 不使用「无限额 + 长期」签名；具体操作见《Permit2 批量撤销授权指南》。

被盗后 30 分钟：按这个顺序止损

被盗后的前 30 分钟，目标不是「追回」，而是「不让损失扩大」。 顺序错了，可能把还能救的资产也搭进去。

第 0 到 5 分钟：先转移剩余资产

不要在原钱包里继续操作。 立刻生成一个全新钱包（最好在另一台干净设备上），把原钱包里还没被扫走的资产转过去。如果原钱包的私钥或委托已经泄露，留在里面的每一分钟都在冒险。

注意：如果攻击者已经设置了自动扫走（sweeper），你转进去的资产也可能被立刻转走。这种情况下，优先转走价值高、转账快的资产，并考虑直接联系交易所冻结。

第 5 到 15 分钟：撤销授权和委托

在还能操作的情况下，撤销：

所有 ERC-20 / NFT 授权；
Permit2 主授权和子授权；
EIP-7702 委托（在钱包内关闭，或转走资产后停用地址）。

撤销需要 Gas。如果原钱包已经没有 Gas，先用小额转入再撤销，或者直接放弃旧地址。

第 15 到 30 分钟：留证、联系、报警

截图保存钱包余额、交易记录、被盗交易哈希；
记录被盗地址、金额、时间、代币种类；
联系资产流入的交易所客服，提供哈希，请求冻结；
向当地警方报案，保留报案回执；
在链上安全社区（如 SlowMist、ScamSniffer）提交信息，增加被标记的概率。

不要相信任何主动联系你的「追回服务」。 真正的追回不会要求你先付保证金、先转币、先提供助记词或私钥。二次诈骗专门盯着刚被盗的人。

不同资金量，做到哪一档就够了

安全投入要和资产规模匹配。 为了 500 美元上一套多签，性价比不高；持有 5 万美元还只靠一个热钱包，则是在拿本金赌运气。

资产规模	最低配置	建议增加的项	不必做
1,000 美元以下	热钱包 + 2FA + 每周授权检查	硬件钱包（如果长期持有）	多签、复杂遗产规划
1,000 到 50,000 美元	硬件钱包 + 冷热分离 + 每月检查	提币白名单、独立浏览器配置文件、季度恢复演练	多签（除非多人共管）
50,000 美元以上	硬件钱包 + 多签/MPC + 地理分散备份	遗产计划、duress wallet、专业安全审计、季度桌面演练	把所有资产放在单一交易所

一个简单的判断标准： 如果今天你的手机丢了、电脑中毒了、交易所暂停提币了，你的生活会不会受到影响？如果会，就往上加一档。

💰 币安返佣福利：邀请码 BINANBT

新用户注册时填邀请码 BINANBT，直接享受 20% 手续费返佣，长期交易能省下一笔。 本文包含返佣链接，通过它注册我们可能获得奖励，但不会让你多花一分钱。

返佣比例：20% 手续费返佣，长期有效，交易越多省得越多。
迎新礼包：最高 $19,800，按任务解锁，不是注册即送现金。
如何领取：注册时在「邀请码」一栏输入 BINANBT；这是最确定的方式。
重要提醒：在 App 里直接注册，拿不到半点新手奖励。 App 内注册不绑定任何邀请关系，$19,800 迎新礼包和 20% 手续费返佣都会与你无关——必须走注册链接或填邀请码 BINANBT 才有。

👉 立即注册币安，领取 20% 手续费返佣

常见问题 FAQ

助记词放在密码管理器或云盘里可以吗？

不建议。云盘、相册、聊天记录、邮件草稿和密码管理器都属于联网存储，一旦账号被撞库、设备中木马或服务商泄露，助记词就等于公开。更稳妥的做法是手写在纸上或刻在金属板上，做两份、放在两个物理位置，并且定期检查字迹是否还能辨认。密码管理器最多用来存交易所密码，不要存助记词本身。

买了硬件钱包就一定安全吗？

不一定。硬件钱包解决的是私钥不触网，但解决不了你亲手签名、地址投毒、假固件和供应链调包。硬件钱包真正的价值是屏幕让你在设备上核对收款地址和金额；如果你看都不看就按确认，它和热钱包没有区别。此外要从官方渠道购买，收到后检查包装封条并自己初始化，不要使用别人预置好助记词的设备。

授权多久撤销一次比较合适？

建议每周花 15 分钟检查一次，每月至少完整撤销一次。重点不是把所有授权都撤掉，而是撤掉三类：无限额授权、已经不再使用的 DApp、以及你叫不出名字的 spender。交互频繁的协议可以保留有限额度授权；长期不动的钱包，授权越少越好。撤销本身要付 Gas，所以把多条撤销合并到一次操作里更划算。

EIP-7702 是什么？普通用户需要管吗？

EIP-7702 是 2025 年 Pectra 升级引入的机制，允许普通钱包地址临时委托给一份智能合约执行代码。它的本意是让钱包支持批量操作和 Gas 代付，但恶意委托等于把整个账户交给对方，连以后转进来的币也会被自动扫走。普通用户不需要理解技术细节，只要记住一条：任何网站或私信让你签署「钱包升级」「委托」「set code」类请求，先拒绝，再核实。

交易所和自托管钱包，哪个更安全？

没有绝对更安全的选项，只有不同的风险承担方式。交易所承担平台被黑、挪用、冻结和破产的风险，但操作门槛低；自托管承担私钥丢失、签名钓鱼、转错地址和物理胁迫的风险，但没有人能冻结你的资产。实务上按用途分层：长期持有放冷钱包，日常交互放小额热钱包，只在交易所留准备交易的资金。交易所风险的具体拆解，见《币放在交易所安全吗》。

被盗之后真的能追回吗？

能，但概率低且取决于资产流向。如果被盗资产还在链上，专业链上分析和执法机构有机会冻结；如果已经进入混币器或跨链分散，追回难度会大幅上升。受害者能做的是尽快转移剩余资产、撤销授权、保存交易哈希和截图、联系资产流入的交易所冻结地址，并向当地警方报案。任何要求先付费的「追回服务」都应视为二次诈骗。

目录