Post

2022 年以来最大的十次加密被盗，累计损失超过 50 亿美元。 翻下来最扎人的事实是：绝大多数攻击根本没碰代码。 被攻破的是人、密码和授权系统—— 钓鱼开发者、伪装的签名界面、被替换的合约地址。 代码审计做得再细，也拦不住有人拿着私钥在正确的地方签了一个错误的交易。 对于普通用户：你的风险不主要来自协议漏洞，而来自你点什么、授权什么、以及 key 放在哪。 行业花了十年加固链上，攻击者索性绕开链上，去攻最薄弱的环节——人的习惯。