JACKHU

Help / 区块链生存法则

区块链生存法则

用法：先读下面「两条元法则」，再按你正在做的事（转币、签名的、开合约、买土狗…）跳到对应章节，照着步骤做。jackhu / BitGlobal · 2017 起做市 · 非投资建议。

元法则 ① 零信任：默认所有人/链接/「官方」都可能骗你 ② 持续验证：能核对的必须核对，且过一阵再核一次

元法则：具体怎么用

零信任 — 三件事

  1. 任何链接：不来自你书签或官方渠道二次确认的，一律当钓鱼。
  2. 任何「限时领取 / 安全更新 / 客服私聊」：先停，去官方推特 / 官网找同一公告。
  3. 圈内技巧：同一知识点至少两个独立来源对得上再信（官网 + CoinMarketCap 收录等）。

持续验证 — 三件事

  1. 转币前：地址在两个界面核对（钱包粘贴 + 区块浏览器 / 第二个钱包）。
  2. 签名前：看清spender、金额、链 ID；看不懂就不签。
  3. 每月一次：备份能否恢复、授权列表、所里API / 登录设备各扫一遍。

钱包：怎么不把身份弄丢

创建、备份、GPG、硬件钱包、设备隐私——请系统学习慢雾《区块链黑暗森林自救手册》（见文末链接）。下面是你今天就能做的动作。

分轨（必做）

  1. 冷 / 存：只收不发，或配合硬件钱包签名。
  2. 热 / 用：日常、DApp、授权——里面只放可损失额度。
  3. 测试 / 撸毛 / 土狗：单独助记词，永远不要和主仓混用。

下载钱包 App（避假包）

  1. 不用搜索引擎第一条「广告」链接。
  2. 从官网或 CoinMarketCap 项目页点进去，域名逐字核对。
  3. PC 安装包：官网提供的 SHA256 / GPG 校验（慢雾手册有教程）。

每次转出前（避地址投毒）

  1. 不要只对比地址头 4 位 + 尾 4 位——骗子会碰撞相似地址。
  2. 第一次给某地址大额：先极小一笔，对方确认收到再转余下。
  3. 从聊天记录复制地址后，再对一次对方在链上历史用过的地址。

签名与钓鱼：怎么不一行字归零

签之前 — Decision tree

  1. 弹窗只有 “Sign message”、看不清人类可读内容 → 拒签（盲签）。
  2. 出现 approve / permit / setApprovalForAll → 看授权给谁、额度是否无限；无限一律改有限或拒。
  3. 不是你在用的官方 DApp 域名弹签名 → 拒（签名没有浏览器同源保护）。
  4. 能用硬件钱包大屏看清再签的，不要只在扩展里一键确认。

每周 10 分钟

  1. 打开 revoke.cash 或 Rabby「授权管理」， revoke 不再用的授权。
  2. 检查浏览器扩展：只留知名钱包 + 必要时 Scam Sniffer / Wallet Guard。

常见骗局 — 你怎么反应

场景正确动作
TG/Discord「官方客服」私聊发链接不理；去官网联系渠道核实
邮件附件 / 「投资人会议」安装包不装；电脑专用于炒币则与日常机隔离
域名像 trezor.io 但有个字母不对关页；Punycode 假域名
Discord 公告发领取链接Discord Token 被盗可假发公告；以官推为准
浏览器 HTTPS 证书报错立即关页，不点「继续访问」

换链（Solana 等）时：不要用以太坊经验硬套；历史上出现过「批准一次转光 SOL」——新链当新手重新学签名规则。

真实套路 ① · NFT 盲签盗走挂单（OpenSea 系，2022 前后高发）

骗子要什么：你已在 marketplace 挂过 NFT；他不需要再进官网，只要骗你在钓鱼站签一条「看不懂的消息」。

典型流程：假链接（空投 / 迁移 / 领奖）→ 连接钱包 → 弹窗只有 “Sign message” 或含糊文案 → 你点确认 → 挂单 NFT 被转移。

你要怎么做（逐步）：

  1. 收到任何「补签 / 激活 / claim」链接：关掉，只从 OpenSea / Blur 书签进入。
  2. 弹窗出现前：看浏览器地址栏是不是官方域名；不是 → 断开 WalletConnect。
  3. 弹窗若是 “Sign message” 且没有结构化字段（没有 token、没有金额、没有 EIP-712 可读列表）→ 拒签。
  4. 若近期签过可疑站：立刻上 revoke.cash，撤销该集合 / marketplace 相关 setApprovalForAll（如有）。
  5. 高价值 NFT：挂单用专用钱包，主仓不挂；硬件钱包确认每一签。

真实套路 ② · 无限 Token 授权（approve / permit）

骗子要什么：一次授权，永久（或超大额度）允许他的合约动你的 USDT / USDC / 土狗币。

典型流程：假 DApp「领奖励 / Swap / 质押」→ 交易实际是 approve(spender, MAX) 或链下 permit → 你确认 → 他随时 transferFrom 转空。

你要怎么做（逐步）：

  1. 钱包弹窗里找到 Spender（授权给谁）：不是你能说清名字的官方合约 → 拒。
  2. 额度若是 Unlimited / 无限 → 改有限或拒；能 increaseAllowance 就别给 MAX。
  3. 领完一次空投 / 玩完一次土狗：同一周 revoke 该spender（Rabby / Etherscan token approval checker）。
  4. 假站常配「正常-looking」前端：以区块浏览器读交易 input 为准，不信页面文案。
  5. 扩展 + 硬件：两层都看清 Contract interaction 再按确认。

合约与 DeFi：审计过了还会怎么亏

存钱 / 质押前 — 5 项核对

  1. 浏览器里交互的合约地址，与项目官推 / 文档一致（防前端换址）。
  2. 合约是否可升级、admin 是谁；不确定则少放或短放。
  3. 审计报告是否写明版本 / 链上地址；报告旧了要当没审计。
  4. APY 高到不合理：先问钱从哪来，答不上来就不进。
  5. 跨链桥：只走官方文档里的桥地址，大额先小笔试跑。

Swap 时 — 避三明治

  1. 滑点不要无脑拉满；大单考虑拆单。
  2. 小池子 + 市价 = 送给机器人；看清价格影响。

交易所：所里钱怎么守

账号

  1. 密码管理器 + Authenticator 2FA（尽量不用纯短信）。
  2. SIM 卡设 PIN；所里若有「提币白名单」——开。
  3. 子账号：API 禁止提币、绑 IP、只给必要权限。

OTC / 法币

  1. 第一笔永远小金额；地址白名单 + 延时确认到账再放行。
  2. 「内部价、绕监管、冻卡解封」类话术 → 默认诈骗。
  3. 收 unknown 来源 U：所里可能 AML 冻结——知悉对手方。

撸空投：怎么不被反撸 / 钓鱼

  1. 专用钱包；主仓地址不参与批量交互。
  2. 领取只信官推 + 官域名；TG 群第一条领取链接默认假。
  3. 「连接钱包即可领」且要你签名 → 按钓鱼处理，除非官方案例明确。
  4. 钱包里未知 NFT：不要点卖出/授权，除非你知道在做什么。
  5. 多钱包 Sybil：项目可能秋后算账——算好成本与隐私，别 all in 身份。

合约爆仓：怎么不被一次清掉

  1. 开单前写下：最大可接受亏损 = 保证金 × 杠杆能亏的上限；到了就认。
  2. 新手 / 主仓：逐仓优于全仓；全仓连环爆很常见。
  3. 不懂 标记价、资金费率、强平价 三个词之前，先模拟盘。
  4. 越跌越补：默认是坑；除非你有明确计划且仍在亏损预算内。
  5. 小币永续：深度差时平不掉就是实亏——别当现货赌。

打土狗：最低限度流程（可以玩，但要会退）

  1. 只用土狗钱包 + 烧得起的钱。
  2. 买之前：浏览器验证合约、看 Top10 持仓、LP 是否锁、是否可 mint。
  3. 买之后立刻：极小数量试卖；卖不出 = 当貔貅处理，别加仓。
  4. Slippage 设合理上限；看到「保证翻倍、内幕群」→ 退出。
  5. 开盘同一区块大量买入 → 警惕捆绑盘，你可能是接最后一棒。

真实套路 ① · 地址投毒（转币转给「长得像」的地址）

骗子要什么：你复制粘贴收款地址时，只核对头尾几位；他提前生成首尾相同的地址，并通过历史转账 / 假备注把假地址塞进你的记录里。

典型流程：你上次转给 A 地址成功 → 钱包 / 聊天记录里出现极像的 A' → 下次大额复制到 A' → 钱进骗子口袋。

你要怎么做（逐步）：

  1. 第一次保存地址：用地址簿 / 白名单命名（如「OTC-张三-ETH」），以后只从地址簿选，不从聊天记录复制。
  2. 粘贴后：全字符串对比（至少中间随机抽 8 位与来源核对）；MetaMask / Rabby 若提示「地址与历史不一致」→ 停。
  3. 大额：先转最小可用金额，对方链上确认后再转剩余。
  4. 做市 / OTC desk：双人复核地址；WhatsApp 发的地址与 Telegram 发的必须交叉确认。

真实套路 ② · 捆绑开盘 + 假锁池（你能买，后面卖不出或只剩渣）

骗子要什么：开盘区块用脚本捆绑买入控筹；Social 上吹「100x」；你在高位接盘；随后撤 LP 或税 / 黑名单让你卖不掉。

典型流程：TG/Twitter 喊单 → 你通过「聚合器 / 假 Router 链接」买 → K 线直拉 → 你想卖 → revert 或 90% tax → LP 被撤，价格归零。

你要怎么做（逐步）：

  1. 只从自己验证的合约地址买（官推 + 浏览器 verified + 与多个来源比对），不用群里的「唯一正确 CA」。
  2. 买前在浏览器看：Top10 持仓是否异常集中；同一区块大量同向买入 → 默认捆绑，不追。
  3. 买后立即用最小数量试卖（同一钱包、同一路由）；失败 → 不要再买，当貔貅。
  4. 查 LP：锁仓是否覆盖主要流动性（不是锁 1 USD 造噱头）；用链上锁仓合约地址读，不信网页 badge。
  5. 全程土狗专用钱包；利润若要留，先转回冷 / 主仓再庆祝，别留在热钱包继续梭。

貔貅 / 假币：3 步验毒

  1. 试卖（上面已强调）——比看 K 线重要。
  2. 读合约或用检测工具：卖出 tax、黑名单、owner 是否还能改规则。
  3. 「锁池 100 年」：上链看锁的是不是全部 LP；审计 badge 网页可伪造。

已经出事：按顺序做，别先慌发朋友圈

  1. 资产还在被转 → 抢跑剩余到安全地址 / 所内冻结通道（若适用）。
  2. 电脑可能中毒 → 先迁走链上资产，再改密码、2FA、杀毒；钱包密码不能代替防木马。
  3. 联网机器当现场：断网不关机，留日志给专业分析（若需要追溯源）。
  4. 写一页纸：时间、地址、哈希、你点过什么链接——方便复盘与报案。

日常节奏（贴墙）

频率做什么
每次转币 / 签名完整地址 · 看清授权 · 不懂不签
每周Revoke 无用授权
每月备份恢复测试 · 所 API/设备 · 提币路径
玩土狗 / 空投专钱包 · 试卖 · 主仓隔离

钱包与安全底座：慢雾《区块链黑暗森林自救手册》

本页讲全行业坑怎么避；钱包创建、备份、GPG、硬件、链下隐私、防火墙思维——请主读慢雾（比本页细一个数量级，建议反复实践）。

完整 Markdown 长文（jackhu 培训用）：可向 BitGlobal / JACKHU 索取同步版。

非投资建议 · Help 目录 · Facts