区块链个人安全黑手册——安全法则及原则（已完结）

目录本⼿册提到有关的安全法则及原则，特别整理如下。有不少是融⼊⼤段⽂字⾥的，我就不做特别提炼了。两⼤安全法则：零信任。简单来说就是保持怀疑，⽽且是始终保持怀疑。持续验证。你要相信，你就必须有能⼒去验证你怀疑的点，并把这种能⼒养成习惯。安全原则：⽹络上的知识，凡事都参考⾄少两个来源的信息，彼此佐证，始终保持怀疑。做好隔离，也就是鸡蛋不要放在⼀个篮⼦⾥。对于存有重要资产的钱包，不做轻易更新，够⽤就好。所⻅即所签。即你看到的内容就是你预期要签名的内容，当你签名发出去后，结果就应该是你预期的，绝不是事后拍断⼤腿的。重视系统安全更新，有安全更新就⽴即⾏动。不乱下程序其实已经杜绝了绝⼤多数⻛险...

区块链个人安全黑手册——总结（持续更新）

目录本⼿册开局这张图:)你注意到了吗？我特意把图中的⼈标红了，是想反复提醒：⼈是万物基础（宇宙学领域称之“⼈择原理”）。⽆论是⼈性安全，还是安全驾驭能⼒，最终都取决于你。是的，当你⾜够强时，没⼈可以轻易欺负你。我顺着图开始展开，从创建钱包到备份钱包再到使⽤钱包这三⼤过程讲解了许多安全要点。接着介绍了传统隐私保护，我说传统的这些是基⽯，是我们安全地玩区块链⽣态的基⽯。⼈性安全部分再多提都不过。那些五花⼋⻔的作恶⽅式，多了解很好，甚⾄⾃⼰踩了⼏次坑，许多纸上谈兵的安全意识也就真成了你的安全经验。没有绝对的安全，于是我讲解了被盗了怎么办，我不希望你被盗，但万⼀发⽣，我希望这份被盗后的安全...

区块链个人安全黑手册——密码学安全就是安全、被黑很丢人、立即更新（持续更新）

目录密码学安全就是安全密码学确实很强⼤很重要。没有这么多密码学家的努⼒，这么多扎实的密码学算法及⼯程实现，也就别谈我们现在的通信技术、互联⽹技术、区块链技术了。可惜有些⼈却把密码学安全当成⼀切的安全，于是就会出现⼀些很奇怪的疑问：区块链不是号称很安全的吗？私钥不是说破解需要多少多少亿亿亿年吗？为什么 FBI 破解了暗⽹⽐特币？为什么周杰伦的 NFT 还会被盗？这些疑问我都可以忍...不能忍的是有所谓安全⼈⼠拿密码学安全去忽悠⼤众，什么军级加密、殿堂级加密、宇宙级加密，系统特别特别安全，⿊客没辙。 ⿊客懒得理你...被黑很丢人被⿊确实会让⼼情很复杂，也确实会有丢⼈的感觉。但你需要明⽩...

区块链个人安全黑手册——误区（持续更新）

目录误区本⼿册⼀开始就告诉你需要始终保持怀疑！包括本⼿册提到的任何知识点。这是个朝⽓蓬勃的、潜⼒巨⼤的⾏业，充斥⼤量的陷阱与乱象。这⾥我们来看看其中的⼀些误区，这些误区如果当作真理，不加思考的话，就很容易掉⼊陷阱中，成为乱象的⼀部分。Code Is Law代码即法律。但往往⼀个项⽬（尤其特指智能合约有关）被⿊了或跑路了，受害者们⼏乎没⼈希望代码即法律，最终还是会依赖真法律。Not Your Keys, Not Your Coins不是你的私钥，就不是你的币。其实许多⽤户拿到了私钥，但没有能⼒驾驭好⾃⼰的私钥，反⽽因为各种安全问题，币丢了。有时候会发现，币放在⾜够⼤且信誉很好的平台⾥...

区块链个人安全黑手册——追踪溯源和结案（持续更新）

目录追踪溯源根据罗卡定律：凡有⼊侵、必留痕迹。我们只要⽤⼼查，总会有发现。这个查的过程实际上就是取证分析、追踪溯源了。我们会根据取证分析出来的⿊客画像来做追踪溯源，并不断充实这个⿊客画像，这是⼀个动态、反复的过程。 追踪溯源包含两⼤部分：链上情报：针对钱包地址分析资⾦⾛向，⽐如进了中⼼化交易所、混币平台等，监控预警新的转移。链下情报：这部分的情报包括：⿊客的 IP、设备信息、邮箱及这⼏点关联碰撞出来的更丰富信息，其中包括⾏为信息。 根据这些情报展开的追踪溯源⼯作就⾮常多了，甚⾄需要执法单位的介⼊。结案当然我们都希望有个好结局，历史上披露的公共事件中我们重点参与的且有好结局的，举⼏个...

区块链个人安全黑手册——保护好现场和分析原因（持续更新）

目录保护好现场发觉出事了，千万冷静，深呼吸三次后，⼀定要保护好有关现场。有⼏个经验供参考： 针对电脑、服务器这类联⽹设备，⼀旦这些是事故主场，⽴即断⽹，但不关机（电源供电持续）。有⼈说如果是破坏性病毒，不关机的话，本地系统的⽂件就都被病毒破坏了。你说的没错，如果你的反应能快过病毒的话...除⾮你⾃⼰有能⼒，否则等待专业安全⼈员介⼊取证分析。这点很关键，我们遇到不少情况是：当我们介⼊做分析时，现场已经乱七⼋糟了，甚⾄关键证据（如⽇志、病毒⽂件）都出现被清理⼲净的情况。没有保存良好的案发现场，会对后续的分析与追踪溯源产⽣极⼤的⼲扰。分析原因分析原因的⽬的是了解对⼿，输出⿊客画像。这个时...

区块链个人安全黑手册——被盗了怎么办，止损第一（持续更新）

目录被盗了怎么办既然说了被⿊是迟早的。那么当被⿊时，甚⾄加密货币被盗时该怎么办？我就简单地直切主题。以下步骤不⼀定完全这个顺序，有的时候是来回穿梭的，但⼤体是这样。止损第⼀止损就是让损失不要放⼤了。这分为⾄少两个阶段：眼前着急阶段。眼前的绝对是当务之急的，⽐如你都看到⿊客正在陆续转移你的资产，你还想什么呢？赶紧抢着把剩余资产安全转移呀。有交易抢跑经验的，就抢跑。看资产类型，如果是那种可以链上冻结的，就尽可能联系冻结。有能⼒做链上追踪分析的发现资⾦转移进中⼼化平台，就可以联系做必要⻛控。局⾯控制后阶段。局⾯稳住后，重点要琢磨的是如何不会出现⼆次、三次伤害。返回目录 下一篇#区...

区块链个人安全黑手册——区块链作恶方式（持续更新）

目录区块链技术的出现诞⽣了我们现在所处的⾏业，⽆论你如何称呼这个⾏业，链圈、币圈、区块链、加密货币、虚拟货币、数字货币、Crypto、Web3 等等，⼀切的核⼼⼏乎都还是围绕区块链。最热闹的都与⾦融活动有关，⽐如币这个 玩意，包括⾮同质化代币（NFT，也叫数字藏品）。这个⾏业有超凡的活⼒与吸引⼒，但存在太多作恶⽅式。由于区块链的⼀些独特性，也出现了些⽐᫾独特的作恶⽅式。这些作恶⽅式⼤体包括：盗币、恶意挖矿、勒索病毒、暗⽹交易、⽊⻢的 C2 中转、洗钱、资⾦盘、博彩等等。2019.1，我做了个思维导图可做参考：https://github.com/slowmist/Knowledge...

区块链个人安全黑手册——WEB3的隐私问题（持续更新）

目录随着 Web3 的流⾏，越来越多有趣或⽆聊的项⽬出现，如各种 Web3 基础设施、社交平台等。基础设施有的做了海量的数据分析，⼀不⼩⼼就发现感兴趣的⽬标的各种⾏为画像了，不仅各区块链上的，还有 Web2 那些知名平台上的。 画像⼀出，⽬标基本就属于透明⼈。⽽ Web3 社交平台的出现也可能加剧这类隐私问题。想⼀想，当你将这些 Web3 有关的各种玩意都玩了⼀遍，如签名绑定、链上各种交互等，你的隐私有没有泄露更多？很多⼈以为不会，但其实许多碎⽚拼在⼀起实际上就能输出更全⾯的画像：你喜欢收藏哪些 NFT、你加⼊了哪些社群、你在哪些⽩名单⾥、你和谁有了关联、你绑定了哪些 Web2 账...

区块链个人安全黑手册——来自“官方”的钓鱼（持续更新）

目录坏⼈真的善于借势搞事，尤其是借官⽅的势。能仿冒就尽量仿冒得很像很像，如上⾯提过的假客服。还有如 2022.4 出头，Trezor 这款知名的硬件钱包的许多⽤户就收到来⾃ trezor.us 的钓⻥邮件，实际上 trezor.us 并不是 Trezor 官⽅ 域名。Trezor 官⽅域名只是 trezor.io。仅仅域名后缀不⼀样。另外钓⻥邮件⾥传播了如下域名：suite.trẹzor.com这个域名是有“亮点”的，仔细看那个 ẹ 并不是英⽂字⺟ e。⾮常的迷惑性，实际上这是 Punycode，标准说明是这样的：A Bootstring encoding of Unicode f...