区块链技术正以无法阻挡的趋势, 渗透金融领域, 渗透供应链领域, 渗透身份认证等领域。我每天接触大量私钥泄露案例, 接触大量钓鱼攻击案例, 接触大量合约漏洞案例, 深感许多用户对区块链的理解, 还停留于“去中心化即安全”的误区之中。而实际情况是, 链上环境远比所呈现的要复杂, 真正的安全防线, 从来不在代码之内, 而是在你的操作习惯当中。

怎么保护私钥不被盗

数字资产的唯一凭证乃是私钥, 一旦其出现泄露情况, 哪怕是神仙降临也无法挽救局面。我目睹过非常多的人存有以下种种行为, 去把私钥截图放置于手机相册当中, 借助微信发送给朋友, 甚至是直接粘贴在云笔记之内。这些均属于高危行为, 原因在于只要你的设备遭受植入木马或者遭遇社工攻击，私钥便会转瞬之间被复制。正确的做法应当是运用硬件钱包, 像是Ledger或者Trezor, 它们将私钥存储于离线芯片里, 即便连接被感染的电脑, 签名操作也仅仅会在设备内部予以完成。要是你觉着硬件钱包成本偏高, 起码务必要把私钥写于纸上, 经物理隔离予以存放, 而且别在同一地点保存两份, 关键是另一个常见的误区在于不少人觉得助记词与私钥是同一码事, 因助记词能推导出私钥, 所以保护助记词就等同于保护私钥, 千万别把助记词录入任何网站, 包含那些宣称“帮你恢复钱包”的钓鱼页面, 真正的钱包应用永远都不会要求你输入完整的助记词, 至多让你依照顺序点击单词, 请记住任何要你提供私钥或者助记词的服务皆是诈骗。

怎样识别区块链钓鱼链接

最普遍的威胁在区块链世界属钓鱼攻击, 且其手法正变得越发精细, 去年我看到一个项目方官推被黑情况, 攻击者直接发布伪造的空投链接, 短时间内盗走近数十万美元, 识别钓鱼链接核心依靠检查域名, 真正项目官网多用顶级域名类似.com及.io等, 钓鱼链接会使用相似像字母‘l’换‘1’或添加无关后缀, 另外千万别在社交媒体私信里点击链接, 特别是那些宣称“限量空投”“紧急迁移”的消息。切实的项目主办方不会借由私信告知你去操作钱包。另外存在一条黄金准则: 任何致使你连接钱包并签署交易的行为, 都得认真详尽核对签名内容。诸多钓鱼合约会向你展现出一个看似正常的签名请求, 像是“授权”, 然而实际上其背后调用了转账的函数。如果针对签名内容阐释你看不明白, 那就不要予以确认。我给出建议, 新手适宜运用硬件钱包搭配浏览器插件, 像是Rabby或者MetaMask, 它们会尽最大可能剖析交易详情, 辅助你判定是否安全。