5 个阶段 · 约 20–30 小时 · 5 个阶段

非技术路径

钱包用熟、DeFi 看懂、NFT 会买、DAO 会参与，全程守住资产安全底线。

适合谁: 不会写代码，但真金白银在链上操作的人
先修条件: 零基础可入
随堂练习: 3 个可在线运行

钱包使用与自托管

含在线练习

把「私钥在自己手里」这件事真正落地，而不是停留在下载一个 App。

需要掌握的知识点

热钱包 / 冷钱包 / 托管钱包的信任差异，什么金额该放哪一类
助记词与私钥：离线双备份，永不输入任何网站，永不截图存相册
网络配置：添加自定义 RPC、区分主网与测试网、看懂链切换提示
Gas 机制：为什么同样的转账有时 0.2 美元有时 20 美元
转账实操：地址校验（前后 4 位）、小额试转、最小金额验证

完成标志

独立完成「创建钱包 → 备份 → 从交易所提币到自己地址 → 再转出」全流程，且没泄漏助记词。

配套内容

图文教程钱包完全指南图文教程MetaMask 配置实操速查表钱包速查表

这一段要让你看懂：生成一个「后 4 位相同」的地址只需要几万次尝试，成本几乎为零；「前后各 4 位都相同」才需要几十亿次。因此核对地址至少要同时看开头和结尾，金额大的时候核对全地址。

▶

试一试 · 为什么只核对地址前后 4 位还不够

可直接改代码 · 在浏览器沙箱里真跑

playground.jsJavaScript

运行环境：iframe 沙箱（无 cookie 权限）。只支持纯 JS 片段，不支持 import / require；需要模块请用下方的完整示例复制到项目里。

检查点（跑完后逐条核对）

后 4 位需要约 6.55e4 次尝试（毫秒级）
前后各 6 位需要约 2.81e14 次尝试（数天量级）
即使 GPU 算力，后 4 位也在 1 秒内被解出

DeFi 基础操作

含在线练习

分清「兑换、做市、借贷、质押」四件事各自赚什么钱、担什么风险。

需要掌握的知识点

DEX 兑换：滑点、价格影响、路由与 MEV 抢跑
流动性做市：无常损失的数学直觉与手续费收益的平衡点
借贷协议：超额抵押、抵押率、清算线与清算罚金
质押与再质押：验证者收益来源、解锁队列、Slashing 风险
稳定币：法币抵押 / 加密抵押 / 算法稳定币的失效模式

完成标志

能在 L2 上完成一次兑换 + 一次提供流动性，并说清自己承担的最大可能亏损。

配套内容

图文教程DeFi 入门指南计算器无常损失计算器计算器清算价计算器

这一段要让你看懂：无常损失衡量的是「做市」相比「什么都不做、拿着币」少赚了多少。价格偏离越大损失越大，但 2 倍以内都还在手续费能覆盖的量级，10 倍就是真亏。

▶

试一试 · 无常损失到底有多大

可直接改代码 · 在浏览器沙箱里真跑

playground.jsJavaScript

运行环境：iframe 沙箱（无 cookie 权限）。只支持纯 JS 片段，不支持 import / require；需要模块请用下方的完整示例复制到项目里。

检查点（跑完后逐条核对）

×2 时无常损失约 -5.72%
×5 时约 -25.5%
×1 时损失为 0（价格回到原点）
手续费年化门槛被反推出来，用于判断值不值得做市

NFT 与数字资产

看懂 NFT 到底是「链上资产」还是「一张指向服务器的链接」，避免为空气付费。

需要掌握的知识点

ERC-721 与 ERC-1155 的区别，为什么游戏道具多用 1155
元数据存储：链上 / IPFS / 中心化服务器的风险差异
购买流程：挂单价、版税、Gas、假藏品与仿冒合约识别
版税与稀有度：稀有度排名为什么不能当作价值判断
出售与转移：挂单授权（approve）的隐藏风险

完成标志

能独立完成一次二手 NFT 购买：核验合约地址 → 检查元数据 → 挂单出价 → 确认成交。

配套内容

图文教程NFT 购买全流程实验环境ERC-721 标准说明百科NFT 购买百科

DAO 治理参与

从「只会投票」进阶到「看得懂提案、算得清影响」。

需要掌握的知识点

治理代币的作用：投票权、委托（delegate）与执行延迟
提案生命周期：讨论 → 快照投票 → 链上投票 → Timelock → 执行
多签金库：Safe 的签名阈值与执行流程
提案风险：恶意提案、治理攻击、投票权集中
如何委托投票权与被委托人的选择标准

完成标志

能在至少一个 DAO 里读完一份完整提案，判断它对自己持仓的影响，并完成一次委托或投票。

配套内容

百科DAO 治理百科计算器链上数据 · TVL 与治理百科Web3 百科 · DeFi 分类

风险控制与安全习惯

含在线练习

前面四步带来的资产，靠这一阶段守住。这是非技术路径最值钱的一课。

需要掌握的知识点

钓鱼手法：假域名、假客服、假空投、招聘骗局、搜索引擎广告位
恶意签名：无限授权、setApprovalForAll、Permit 钓鱼的识别方法
授权清理：定期撤销不再使用的 approve
资产分层：长期持有放硬件钱包，交互用「小额热钱包」
被盗后的前 30 分钟：断网、转移剩余资产、撤销授权、链上追踪与报案

完成标志

能对自己的钱包做完一次完整体检：授权清单、备份完整性、设备与插件检查。

配套内容

速查表安全自查速查表速查表诈骗信号速查表测验安全知识测验

这一段要让你看懂：签名前要能回答三个问题：签名对象是谁、授权金额是多少、这个地址是什么。看不懂的签名一律不签——这是零成本的自保动作。

▶

试一试 · 读懂一笔签名请求

可直接改代码 · 在浏览器沙箱里真跑

playground.jsJavaScript

// 模拟一笔来自钱包的「请求签名」内容
const requests = [
  {
    label: '正常的有限授权',
    type: 'Permit',
    domain: { name: 'USD Coin', verifyingContract: '0xA0b86991c6218b36c1d19D4a2e9Eb0cE3606eB48' },
    message: { owner: '0xYou...', spender: '0x1111111254EEB25477B68fb85Ed929f73A960582', value: '100000000', deadline: 1767225600 },
  },
  {
    label: '无限授权（危险）',
    type: 'Permit',
    domain: { name: 'USD Coin', verifyingContract: '0xA0b86991c6218b36c1d19D4a2e9Eb0cE3606eB48' },
    message: { owner: '0xYou...', spender: '0xUnKn0wn...', value: '115792089237316195423570985008687907853269984665640564039457584007913129639935', deadline: 0 },
  },
  {
    label: '整体授权（更危险）',
    type: 'ApprovalForAll',
    domain: { name: 'SomeNFT', verifyingContract: '0xDef4u1t...' },
    message: { owner: '0xYou...', operator: '0xUnKn0wn...', approved: true },
  },
];

const MAX_UINT256 = '115792089237316195423570985008687907853269984665640564039457584007913129639935';

function analyze(req) {
  const flags = [];

if (req.type === 'ApprovalForAll') {
    flags.push('🔴 这是「整体授权」：该系列的每一枚 NFT 都会被对方随意转走');
  }
  if (req.message.value === MAX_UINT256) {
    flags.push('🔴 授权金额是 uint256 最大值：等于永久无限授权');
  }
  if (req.message.deadline === 0) {
    flags.push('🔴 没有截止时间：这张授权永远不会过期');
  }
  if (req.domain.verifyingContract === '0xDef4u1t...') {
    flags.push('🟡 合约地址不是我熟悉的那个，去区块浏览器核对一遍');
  }
  if (flags.length === 0) flags.push('🟢 金额限定了具体数量且有截止时间，风险可控');

return flags;
}

for (const req of requests) {
  console.log('【' + req.label + '】签名类型：' + req.type);
  console.log('  合约：' + req.domain.verifyingContract);
  console.log('  对方：' + (req.message.spender || req.message.operator));
  for (const f of analyze(req)) console.log('  ' + f);
  console.log('');
}

运行环境：iframe 沙箱（无 cookie 权限）。只支持纯 JS 片段，不支持 import / require；需要模块请用下方的完整示例复制到项目里。

检查点（跑完后逐条核对）

第 1 笔只提示「风险可控」
第 2 笔同时报出无限授权与无截止时间两个红灯
第 3 笔被识别为整体授权（能搬走整个系列的 NFT）

走完这条路之后

切换到开发者路径切换到交易与数据路径切换到安全与自保路径