HTTPS 只表示你与该域名之间的连接已加密，并不能证明域名属于真正的加密货币服务商。连接钱包前，应核验准确的注册域名，从可信来源进入网站，检查证书警告，并把确认无误的网站加入书签。
了解各个关键环节#
仿冒域名会使用替换字母、增加单词、欺骗性子域名和国际化字符。现代钓鱼网站同样可以获得有效的 TLS 证书，因此浏览器显示安全连接只是一项最低要求，并不是网站身份认证标志。
判断框架#
至少使用两个相互独立的可信锚点：一个是之前保存的官方链接，另一个是经过核验的代码仓库、应用商店页面或生态目录。仅凭社交媒体帖子不能构成独立证据。
按受控顺序操作#
- 从右向左阅读域名，找出真正可注册的主域名。 继续之前，将准确的域名、地址、网络或权限与独立的官方来源逐项比对。
- 将拼写与项目官方文档进行比对。 保留原始时间戳、标识信息和未经编辑的记录，确保其他人可以复核你的判断。
- 如果浏览器显示任何警告，打开证书详细信息。 不同结果决定适用的资产、权限或风险模型，因此必须在下一步前消除所有歧义。
- 避开推广搜索结果和缩短链接。 应在资产或签名权限发生转移前完成网站真实性核验，并在操作后验证实际状态。
- 独立核验通过后再保存书签。 保留原始时间戳、标识信息和未经编辑的记录，确保其他人可以复核你的判断。
常见陷阱#
- 把 project.example.com.attacker.tld 误认为官方子域名。 品牌界面可以复制，因此必须通过独立核验的官方渠道重新打开网站。这个示例中真正的主域名是 attacker.tld。
- 因为网站使用 HTTPS 就相信它。 品牌界面可以复制，因此必须通过独立核验的官方渠道重新打开网站。
- 忽略近期注册的仿冒域名。 品牌界面可以复制，因此必须通过独立核验的官方渠道重新打开网站。
- 网站声称钱包损坏后，按要求输入助记词。 这可能泄露根凭据；之后修改密码也未必能切断攻击者访问。
检查加密货币网站真实性时，干净的结果不只是交易或设置显示完成，而是你能独立核验、重复验证，并在相关服务失效时仍有补救空间的结果。
确认检查结果#
检查加密货币网站真实性时，不要只看界面是否显示“成功”。应使用即使页面关闭后仍可核验的证据。
| 检查点 | 证据 | 停止条件 |
|---|---|---|
| 从右向左阅读域名，找出真正可注册的主域名 | 与官方文档一致的准确网址或合约地址 | 把 project.example.com.attacker.tld 误认为官方子域名 |
| 将拼写与项目官方文档进行比对 | 隐去敏感数据且带日期的截图或链上记录 | 因为网站使用 HTTPS 就相信它 |
| 浏览器显示警告时打开证书详细信息 | 隐去敏感数据且带日期的截图或链上记录 | 忽略近期注册的仿冒域名 |
如果交易哈希、官方工单号或带日期的截图有助于记录网站真实性检查过程，应妥善保存；但绝不要在证据中包含助记词、私钥或验证码。
常见问题#
钓鱼网站也能拥有有效证书吗？
可以。证书颁发机构验证的是申请者对域名的控制权，而不是域名背后企业是否合法可信。
浏览器还会显示小锁图标吗？
浏览器界面会不断变化，但网站信息中仍可查看 HTTPS 状态和安全警告。不要把某个图标当作唯一检查依据。
如果官方网站发生跳转怎么办？
在信任新目标域名之前，应通过官方文档确认该跳转确实有效。
相关指南#
资料来源#
风险提示： 加密货币操作可能无法撤销。切勿透露助记词、私钥、密码或验证码，并独立核验每个域名和钱包提示。
编辑标准
本文以教育和可靠来源为基础。安全措施、交易所规则及法律要求可能变化，采取重要操作前请通过相关官方渠道核实。
