4 个阶段 · 约 12–18 小时 · 4 个阶段

安全与自保路径

建立威胁模型、加固签名与授权、准备好出事后的应急剧本。

适合谁: 资产规模较大、或需要替他人管资产的人
先修条件: 已完成非技术路径全部阶段，或开发者路径阶段 1–3
随堂练习: 1 个可在线运行

威胁建模与资产分层

先想清楚「谁会来偷、从哪进来」，再决定放多少资产在哪个钱包。

需要掌握的知识点

攻击面盘点：私钥保管、浏览器插件、RPC 节点、签名授权、社交工程
资产分层方案：冷钱包 / 交互钱包 / 试验钱包的金额边界
供应链风险：假插件、假硬件钱包、被篡改的安装包与 RPC
社工手法：假客服、假招聘、假审计报告、私聊「合作」

完成标志

写出自己的资产分层表与攻击面清单，并据此调整钱包使用方式。

配套内容

速查表安全自查速查表速查表诈骗信号速查表图文教程硬件钱包设置实操

签名与授权安全

含在线练习

搞清楚「我签的这个东西」到底给了对方什么权限。

需要掌握的知识点

approve 与 setApprovalForAll：金额、范围与撤销方式
EIP-712 结构化签名：可读的消息与不可读的哈希，如何交叉验证
Permit / Permit2：无 Gas 授权钓鱼为什么危险
盲签风险：硬件钱包上显示不出的内容该怎么处理
多签钱包（Safe）：阈值设计、模块扩展风险、签名人设备隔离

完成标志

能逐字段解释一份待签名的 EIP-712 消息，并判断它是否等价于一次资产转移授权。

配套内容

百科签名安全玩法百科速查表授权与撤销速查表实验环境EIP-712 标准说明

这一段要让你看懂：可读签名（EIP-712）的价值在于你「能读懂」。读不懂就拒签，这个判断标准比任何工具都可靠。

▶

试一试 · 从签名内容里找出危险字段

可直接改代码 · 在浏览器沙箱里真跑

playground.jsJavaScript

// 把一笔 EIP-712 签名请求拆成「能看懂的字段」与「需要警惕的字段」
const requests = [
  {
    name: '看起来像登录的签名',
    fields: {
      owner: '0xYou...',
      spender: '0x7a250d5630B4cF539739dF2C5dAcb4c659F2488D',  // Uniswap V2 Router
      value: '100000000',
      nonce: 7,
      deadline: 1767225600,
    },
  },
  {
    name: '伪装成「验证钱包」的签名',
    fields: {
      owner: '0xYou...',
      operator: '0x000000000000000000000000000000000000dEaD',
      approved: true,
    },
  },
  {
    name: '真正无害的登录签名',
    fields: {
      address: '0xYou...',
      domain: 'web3academy.example',
      nonce: '8f2a1c',
      issuedAt: '2026-09-17T13:00:00Z',
    },
  },
];

function analyze(fields) {
  const notes = [];

if ('operator' in fields && fields.approved === true) {
    notes.push('危险：operator + approved=true 是「整体授权」，对方可转走你全部该类资产');
  }
  if ('spender' in fields) {
    notes.push('注意：spender 是「谁有权花你的钱」。不认识的地址一律不签');
  }
  if ('value' in fields) {
    const v = BigInt(fields.value);
    notes.push(
      v > 10n ** 30n
        ? '危险：授权金额接近无限大（' + v.toString().length + ' 位数字）'
        : '金额有限，为 ' + v.toString()
    );
  }
  if ('deadline' in fields) {
    notes.push(fields.deadline === 0 ? '危险：没有截止时间' : '有截止时间，会过期');
  }
  if (!('spender' in fields) && !('operator' in fields)) {
    notes.push('安全：只有地址、域名与随机数，没有资金权限');
  }

return notes;
}

for (const req of requests) {
  console.log('【' + req.name + '】');
  for (const [k, v] of Object.entries(req.fields)) {
    console.log('  ' + k.padEnd(12) + ' = ' + v);
  }
  for (const n of analyze(req.fields)) console.log('  → ' + n);
  console.log('');
}

运行环境：iframe 沙箱（无 cookie 权限）。只支持纯 JS 片段，不支持 import / require；需要模块请用下方的完整示例复制到项目里。

检查点（跑完后逐条核对）