钓鱼与诈骗信号速查表：看到这些就停手

从选平台、核实官网、注册账号、KYC 实名，到 2FA、反钓鱼码、提现白名单和 API 权限，一次性把 CEX 账户的安全设置做全，避免以后被盗号或钓鱼。

把钱包安全从「小心别被骗」升级为「即使被骗也伤不到根本」：为什么硬件钱包是资产安全的分水岭——私钥永不接触网络、签名在设备内完成、电脑中木马也拿不到密钥；硬件钱包选型与<strong>只从官方渠道购买</strong>（拒绝二手与第三方改装）的原因；设备初始化时助记词必须在设备屏幕上生成与抄写；与 MetaMask 联动的配置流程与屏幕双重核对纪律；多签钱包（Safe）的原理、阈值配置与团队共管场景；社交恢复与智能钱包如何消除「助记词丢失即终局」；分账户策略的落地方法；家庭与团队场景下的备份分片、共同持有人与继承方案；最后是一份安全加固总清单与年度安全复盘流程。

以攻击者视角系统拆解导致史上巨额损失的智能合约漏洞类别：建立「所有外部输入与外部调用都是恶意的」安全第一性原理；重入攻击的三种形态与 Checks-Effects-Interactions、重入锁；整数溢出/下溢与 0.8 内置检查；访问控制缺失与 tx.origin 钓鱼；外部调用失败导致的拒绝服务；闪电贷如何无成本放大价格预言机操纵风险，以及 Chainlink 喂价与 TWAP 的正确姿势；无限授权与签名重放；可预测随机数；最后用 The DAO、Parity 多签、Ronin 桥、Euler 等真实案例时间线建立直觉，并给出项目方的应急响应预案框架。

把整套 DeFi 玩法收口到风控与执行：常见骗局全景——域名钓鱼、假空投、假客服、假 DEX 界面、代币诱导网站；Rug Pull 的六个识别信号（流动性是否锁仓、代币是否可无限增发、团队是否匿名、持仓是否集中、是否审计、社群质量）；蜜罐盘（能买不能卖）与恶意合约的识别方法；授权风险与每月授权体检的实操；签名风险（Permit、盲签）与「签名 ≈ 转账」的认知纠偏；协议安全核查清单（审计、TVL、运行时长、历史攻击记录、管理员权限是否多签+Timelock）；协议被攻击后的应急处理四步；仓位管理与组合风险控制（避免同一风险叠加）；最后给出完整 DeFi 参与流程的十二步总结与进阶学习路线。