不要把存有贵重资产的钱包连接到陌生网站。连接通常只会公开地址，而不会直接授予支出权限，但网站可以立即弹出欺骗性的签名或授权请求，还能分析你的持仓，针对你发动定向攻击。
核心原理#
用户经常把“连接钱包”当作最终决定，实际上它只是授权流程的起点。真正危险的步骤可能是紧接着出现的 Permit 许可、代币授权或交易。
把钱包连接到陌生网站时，眼前的界面只能展示整个系统的一部分。不要因为看到了熟悉的名称或标识就认为操作可信，应先确认涉及的主体、资产、网络和权限。
分步操作流程#
- 先核验域名和应用信誉。 继续之前，将准确的域名、地址、网络或权限与独立的官方来源逐项比对。
- 使用只存放少量资金的沙盒钱包。 首次敞口应足够小，确保即使判断错误，也能在不造成重大损失的情况下修正。
- 阅读之后出现的每一个钱包提示。 继续之前，将准确的域名、地址、网络或权限与独立的官方来源逐项比对。
- 拒绝与网站所述操作无关的请求。 应在资产或签名权限发生转移前完成判断，并在操作后验证实际状态。
- 使用结束后断开本地连接，并另行检查链上授权。 继续之前，将准确的合约地址、网络和权限与独立的官方来源逐项比对。
需要警惕的失效模式#
- 为了检查领取资格而连接保险库钱包。 这会削弱本应限制陌生网站风险影响范围的隔离控制。
- 签署用途只写着“验证”的消息。 品牌界面可以复制，因此必须通过独立核验的官方渠道重新打开请求并确认实际内容。
- 认为断开连接就会撤销代币额度。 这会从网站连接风险判断中删除一项必要事实，使表面结果变得不可靠。
- 因为钱包显示了网站标志就相信它。 这会从网站真实性判断中删除必要信息，使结论不可靠。
何时应停止或改变方案#
如果网站价值尚不明确，可以在不连接钱包的情况下浏览，或在只读区块浏览器中输入公开地址。只有用途清晰、来源可信的网站，才值得连接钱包。
如何证明操作已经完成#
与网站交互后，不要只看界面是否显示“成功”。应使用即使页面关闭后仍可核验的证据。
| 检查点 | 证据 | 停止条件 |
|---|---|---|
| 先核验域名和应用信誉 | 与官方文档一致的准确网址或合约地址 | 为检查领取资格而连接保险库钱包 |
| 使用只存放少量资金的沙盒钱包 | 已隐去秘密信息、带日期的控制检查、恢复测试或设置记录 | 签署用途只写着“验证”的消息 |
| 阅读之后出现的每一个钱包提示 | 已隐去秘密信息、带日期的控制检查或设置记录 | 认为断开连接就会撤销代币额度 |
如果交易哈希、官方工单号或带日期的截图有助于记录陌生网站交互，应妥善保存；但绝不要在证据中包含助记词、私钥或验证码。
常见问题#
网站能在钱包刚连接时立即盗走资产吗？
标准连接本身不会转移资金，但已失陷的钱包或之后批准的授权可能造成资产损失。
使用一次性钱包就能让任何网站变安全吗？
不能。一次性钱包只能限制资金敞口，无法消除恶意软件、设备失陷或隐私泄露风险。
如何移除网站连接？
在钱包的“已连接网站”设置中断开连接，然后另行检查链上授权。
相关指南#
资料来源#
风险提示： 加密货币操作可能无法撤销。切勿透露助记词、私钥、密码或验证码，并独立核验每个域名和钱包提示。
编辑标准
本文以教育和可靠来源为基础。安全措施、交易所规则及法律要求可能变化，采取重要操作前请通过相关官方渠道核实。
