你不知道自己给予的许可
我在 IBM 工作了 25 年，构建每天处理数百万笔交易的系统。银行系统。保险平台。物流网络。这些年来，有一个原则从未改变：最危险的安全故障不是入侵。这是建筑物所有者打开的一扇门。
这一原则在 2026 年对加密货币的应用将超过对企业 IT 的应用。
近几个月来，越来越多的人走进了 OneMiners 布拉格和纽约的地点也存在同样的问题。他们将钱包连接到一个网站。他们批准了一项交易。他们不明白他们批准了什么。当他们意识到出了问题时，他们的资产已经转移——不是因为有人黑了他们的钱包，而是因为他们在不知不觉中授予了这种转移的许可。
这不是技术故障。这是一个信息差距。信息差距是可以解决的。
钱包批准实际上是如何运作的
让我像向初级工程师解释系统架构一样清楚地解释这一点，没有捷径，也不需要假设您已经知道。
当您使用加密货币钱包时，您有一个 私钥。将此视为建筑物的主钥匙。每扇门、每个房间、每个保险箱——一把钥匙就能打开它们。只要您持有这把钥匙并且其他人没有副本，您的建筑物就是安全的。
现在，事情变得有趣了。
某些应用程序——去中心化交易所、代币平台、DeFi 协议——要求你的钱包“批准”交互。从表面上看，这看起来很平常。出现一个小弹出窗口。您点击“确认”。感觉就像同意条款和条件。
但您实际上可能正在做的是向某人提供特定房间钥匙的副本。不是你的万能钥匙，而是一把写有以下内容的钥匙： “你可以随时进入这个房间并拿走你找到的东西，而无需再问我。”
| 你所看到的 | 它实际上可以做什么 |
|---|---|
| “批准令牌访问” | 授予从钱包中移动特定代币的无限权限 |
| 「确认交易」 | 可能包括对您未发起的未来交易的隐藏批准 |
| “连接钱包” | 一般来说是安全的——但结合批准，它打开了大门 |
| “索取免费代币” | 可能需要获得批准才能访问您的现有资产 |
关键洞察： 您没有发送资金。您正在授予其他人稍后移动它们的权限。损失不会立即发生——它会在您批准的一方决定采取行动时发生。
在企业 IT 领域，我们称之为“长期授权”。这是我构建的所有系统中经过最多审核、最受限制的权限。在加密货币中，任何人都可以通过一个弹出窗口来请求一个。
欺骗性计划如何利用这种机制
我不会使用戏剧性的语言。我将像在架构审查中描述系统漏洞一样描述机制 - 事实上并提供足够的细节让您能够识别它。
典型模式
- 诱饵。 您发现了一种新代币、“免费空投”或投资机会。它通过社交媒体、消息应用程序到达，或者有时一个代币直接出现在您从未购买过的钱包中。
- 紧迫性。 该消息包含时间压力：“24 小时内索赔。” “分配有限。” “明天涨价。”在 25 年的企业工作经验中，我从未见过一个合法的系统需要您在一小时内做出安全决策。
- 批准。 您将被定向到一个看起来专业的网站。它要求您连接钱包并批准交易。隐藏在细节中的是一种授予对您的代币无限制访问权限的权限。
- 提取。 几小时、几天甚至几周后，获批准方会使用该长期授权来转移您的资产。交易在区块链上得到确认且不可逆转。
为什么它有效： 这与智力无关。我见过计算机科学博士犯过这个错误。大多数钱包中的审批界面并不是为了清晰而设计的，而是为了功能而设计的。这些信息在技术上是存在的，但需要专业知识来解释。那是一个 设计失败，不是用户故障。
警告标志：清单
在企业安全中，我们使用清单。并不是因为人们粗心——因为即使是细心的人在做出决定之前也会从结构化的审查中受益。这是你的。
在批准任何事情之前，请检查这些
- 紧急语言 —“立即行动”、“限时”、“24 小时后到期”。合法协议不会在一夜之间失效。
- 保密要求 —“不要分享这个机会。”合法的平台需要用户。他们不耳语。
- 您钱包中的未知代币 — 出现在钱包中的不是您购买的代币不是礼物。它们是旨在引导您访问恶意审批网站的诱饵。
- 审批说明含糊不清 — 如果钱包弹出窗口没有明确说明您正在批准的内容和金额，请停止。
- 没有明确解释批准的作用 — 合法的协议将解释您批准的内容以及原因。如果缺少解释，请将其视为警告。
- 无限的代币批准金额 — 如果批准超出交易要求或显示“无限制”，则这是一个重大风险。
- 网站不熟悉 — 逐个字符检查 URL。欺诈网站通常只有一个字母不同。
两分钟规则： 如果您无法用简单的语言向其他人解释批准的作用以及批准的原因， 不批准。 关闭浏览器。走开。明天区块链仍然存在。
如果您批准了不应该批准的事情该怎么办
速度在这里很重要。不要惊慌——速度。
立即采取的措施
- 不批准额外交易。 如果网站要求第二次批准来“修复”或“逆转”第一个批准，则这可能是另一个恶意请求。
- 检查您的有效批准。 revoke.cash 或 Etherscan 的令牌批准检查器等工具允许您查看和撤销长期权限。
- 立即撤销可疑的批准。 这会花费少量的网络费用，但会取消常设许可。如果恶意方尚未采取行动，则撤销可以防止将来提取。
- 将剩余资产转移到新钱包。 如果您有任何疑问，请将剩余资产转移到从未与可疑网站互动过的新钱包中。
- 记录一切。 网站的屏幕截图、交易哈希值和批准详细信息。此信息对于报告和了解发生的情况很有用。
最佳实践：培养长期安全习惯
安全不是一次性的行动。它是一个系统。在 IBM 的 25 年里，保持安全的组织并不是拥有最好的防火墙的组织，而是拥有最好习惯的组织。
重要的习惯
- 使用单独的钱包。 保留一个“热”钱包，存放少量日常使用的资金。将主要资产保存在永远不会连接到陌生网站的钱包中。考虑活期账户与储蓄账户。
- 每月审查权限。 检查您在 revoke.cash 上的有效批准。撤销您不再需要的任何内容。常设许可是您已经忘记的一扇敞开的门。
- 连接前验证。 自己输入地址或使用书签。请勿点击消息或社交媒体中的链接。
- 使用硬件钱包来持有大量资产。 每笔交易的物理确认——这是有保安的大楼和有开放大厅的大楼之间的区别。
- 随时了解情况。 关注信誉良好的教育资源，例如 比特币网，它提供了有关加密货币基础知识的清晰、无行话的指南。
当你需要有人倾诉时
以下是我在这个领域工作十年中学到的东西：对于加密货币领域的任何人来说，最危险的时刻不是他们遇到欺骗性计划的时候。就在之后的那一刻——他们感到困惑，不确定发生了什么，也不知道该问谁。
互联网上充满了建议。其中一些是好的。其中一些会使情况变得更糟。坐在真人对面，向他们展示你的屏幕，并说： “你能帮我了解一下这里发生了什么吗？”
这是使得 OneMiners 真正不同。
走进并与团队交谈。无论您不确定钱包交互、希望有人查看交易，还是只是想了解权限如何工作，面对面的对话都会改变一切。
同等水平的面对面支持。带上你的问题。带上你的担忧。如果您希望有人与您一起查看屏幕，请带上笔记本电脑。房间里没有什么可以替代知识渊博的人。
工作人员在 OneMiners 不仅仅是矿工和硬件专家。他们了解钱包、交易、审批和更广泛的安全环境。当一个月内有五个客户遇到相同类型的问题时，团队认识到了这种模式并开始主动对访问者进行教育。这是你从真正关心他们所服务的社区的人们那里得到的回应。
您还可以使用 asicprofit.com 计算您的采矿盈利能力，以及 比特币网 加深你对比特币基础知识的理解——因为你对生态系统了解得越多，任何人就越难误导你。
长远眼光
在互联网商业化之前我就一直从事技术工作。我目睹了技术的出现、颠覆、失败和持续。加密货币——特别是比特币——属于“持久”类别。我在2014年就说过了，现在我还要再说一遍： 这项技术得以保留。
但留下来的技术必须像任何长期系统一样遵循同样的原则。你不能靠捷径和快速决策来建立一个 25 年的平台。它建立在理解、良好习惯以及出现问题时身边有合适的人的基础上。
加密空间本身并不危险。它本质上是 新的。新系统总是有一个学习曲线。成功驾驭这条曲线的人并不是技术上最聪明的人，而是最有条理的人。
要有条理。批准之前先验证一下。
当感觉有些不对劲时——
走进去和以前见过它的人交谈。
您的资产值得保护。你的信心值得建立。当你不是一个人做的时候，这两件事都会变得更容易。
