如果你初来乍到Web3的世界，你要学习的第一件事是：保持怀疑，保持敬畏，保持对求知欲；路途自由美好，但路边也险象环生。
目前来看，Web3还只是一个方向，一场需要不断试错的试验，一个很长时间才能完成的构想；加密世界尚在摸索阶段，自由和去中心化代表着所有权在你手中，你的所有操作选择决定了你的资产归属。资产安全，一直都是Web3世界最难以去杜绝的问题；也有人戏称：Web2-Web3转型最成功的就是黑客。
自由的另一面是安全问题，有光亮的地方就会有黑暗和影子，但如果路上有灯照亮黑暗，那路途会更平坦。希望下面几点，可以帮到各位，让各位最大程度上避免安全问题的侵犯。
1、避免将你的钱包信息保存在互联网
钱包中的助记词和私钥就像是打开你钱包的钥匙，一旦泄漏整个钱包都会完全被别人掌控；而联网状态下，一直都很难做到100%安全和信息不泄漏。
APE在韩国交易平台Upbit上涨一度超1600%:4月12日消息，行情数据显示，APE在韩国交易平台Upbit上涨一度超1600%。[2023/4/12 13:59:19]
因此，尽可能不要把你的私钥、助记词或其他敏感信息保存在联网的移动设备中，尽可能用手抄写、备份在不联网的手机等方式来隔开可能存在的风险。甚至有可能的话，不要把你的电脑和移动设备连入公用Wifi。
2、资产分散放置
强如FTX都会出现如此事件，相信大家都会明白资产分散配置的重要性。在此之前，大家都觉得放在交易所最为安全；这也是FTX事件后冷钱包销量激增的原因。
从钱包来说，热钱包和冷钱包各有优势。Metamask作为人气最高的热钱包安全性饱受诟病，但是胜在方便，操作性强；冷钱包对于大额资产是一个不错的选择，但是便利性不高，适合长期持有的资产。没有绝对的安全，但可以尽量规避掉风险。如果资金量比较大，那么根据自己的需求按照比例分散放置是非常重要的。
比特币矿企Riot 2022年全年收入约2.6亿美元，哈希率容量较去年增加两倍:3月3日消息，比特币矿企Riot Platforms发布2022年财年报告称，其截至2022年12月的财年收入为2.592亿美元，而2021年同期为2.132亿美元，这主要是由于比特币产量增加以及全年数据中心托管和工程收入的推动。该矿企该报告期共产出5,554枚比特币，与2021年同期的3,812个相比增长了46%。比特币挖矿收入为1.569亿美元，而2021年同期为1.844亿美元。
2022年净亏损5.096亿美元，而2021年同期净亏损为1540万美元，这受到总计5.386亿美元的非现金减值支出的重大影响，包括与2021年Whinstone和ESS Metron收购相关的3.356亿美元商誉减值，持有的加密货币减值1.474亿美元，以及矿机减值5550万美元。截至2022年12月31日，Riot营运资本为3.218亿美元，包括手头现金2.303亿美元和6974枚比特币，没有长期债务。截至2022年12月31日，哈希率容量增加了213%，达到每秒9.7 EH/s，而截至2021年12月31日为3.1 EH/s。
此外，据CoinDesk报道，Riot推迟向美国证券交易委员会提交其年度10-K报告，原因是其会计师事务所就该公司与其比特币资产相关的减值计算提出了问题。[2023/3/3 12:40:07]
3、谨慎分辨所有链接
慢雾：Equalizer Finance被黑主要在于FlashLoanProvider合约与Vault合约不兼容:据慢雾区消息，6 月 7 日，Equalizer Finance 遭受闪电贷攻击。慢雾安全团队以简讯形式将攻击原理分享如下：
1. Equalizer Finance 存在 FlashLoanProvider 与 Vault 合约，FlashLoanProvider 合约提供闪电贷服务，用户通过调用 flashLoan 函数即可通过 FlashLoanProvider 合约从 Vault 合约中借取资金，Vault 合约的资金来源于用户提供的流动性。
2. 用户可以通过 Vault 合约的 provideLiquidity/removeLiquidity 函数进行流动性提供/移除，流动性提供获得的凭证与流动性移除获得的资金都受 Vault 合约中的流动性余额与流动性凭证总供应量的比值影响。
3. 以 WBNB Vault 为例攻击者首先从 PancekeSwap 闪电贷借出 WBNB
4. 通过 FlashLoanProvider 合约进行二次 WBNB 闪电贷操作，FlashLoanProvider 会先将 WBNB Vault 合约中 WBNB 流动性转给攻击者，随后进行闪电贷回调。
5. 攻击者在二次闪电贷回调中，向 WBNB Vault 提供流动性，由于此时 WBNB Vault 中的流动性已经借出一部分给攻击者，因此流动性余额少于预期，则攻击者所能获取的流动性凭证将多于预期。
6. 攻击者先归还二次闪电贷，然后从 WBNB Vault 中移除流动性，此时由于 WBNB Vault 中的流动性已恢复正常，因此攻击者使用添加流动性获得凭证所取出的流动性数量将多于预期。
7. 攻击者通过以上方式攻击了在各个链上的 Vault 合约，耗尽了 Equalizer Finance 的流动性。
此次攻击的主要原因在于 Equalizer Finance 协议的 FlashLoanProvider 合约与 Vault 合约不兼容。慢雾安全团队建议协议在进行实际实现时应充分考虑各个模块间的兼容性。[2022/6/8 4:09:22]
经常会有各种各样的“福利链接”“空投链接”，以及每个热门项目也都会有很多和官方链接相似的钓鱼链接，如果没有细心分辨，点进去后很容易就把钱包授权或是泄漏一些信息。
清洁算力公司SAI.TECH推出一站式云管理软件SAIHUB App:5月26日消息，清洁算力服务运营商SAI.TECH Global Corporation最近在App Store推出其一站式云管理软件SAIHUB App，该软件为SAIHUB用户提供追踪其比特币资产、能源消耗和比特币挖矿信息的集成解决方案。
此外，SAIHUB App为用户提供一站式比特币资产管理平台，可以在手机上管理自己的比特币资产。（Globenewswire）[2022/5/26 3:43:12]
况且，Web3的很多黑客都会用一些很朴素的手段——直接黑掉官方或是Mod的社交媒体账号，然后登上去发一些钓鱼链接；如果没有其他官方人员及时发现，就会导致很多用户资产或者信息被窃取。如果你能够做到不乱点击链接，那么你已经规避掉80%的风险了。
除此之外，你需要再三确认你想要购买的NFT是否为官方发布的NFT，不然很容易不慎买成假冒的。
赵长鹏：收入模式对于项目的可持续发展至关重要:5月3日消息，赵长鹏在推特上表示，像“边玩边赚（play-to-earn）”、质押、空投等激励机制都能够有效吸引新用户。但如果该项目没有一个“收入”模式，代币价格最终将因供应过剩而崩盘。收益可以是用户使用代币购买的任何东西、向开发者支付的虚拟商品和网络费用等。项目成功的关键在于构建人们使用的产品。如果一个项目想要可持续发展，收入模式大于激励机制。[2022/5/3 2:47:35]
4、钱包签名时要谨慎
Metamask在7月份的时候做了一个很实用的更新，即会为NFT合约授权函数，作出UI更新，更清晰的让大家知道签名的操作意图，降低被的风险——在此之前，用户无法较为直观的去判断签名和授权的内容。钱包尽可能只对判断过、觉得安全的项目签名交互；一旦发现交互过的项目有被盗行为，需尽快去revoke.cash等取消授权。
总之，在这项更新后，因为签名问题的盗窃事件少了很多，但我们在每次签名时依然要格外注意。
5、使用值得信赖的应用、插件
这部分的问题多数出在“剪切板”。私钥和地址这种无规则的字母数字组合恐怕没有人会选择一个一个打出来而有些应用或插件则会读取并记录用户复制的内容，这样就很容易导致私钥泄露。
因此我们在使用一些相关的应用前，一定要了解清楚其背书，以及是否为“官方应用”，打开的是不是“官方网站”——就如同，你真的能记得Azuki的官网是Azuki.com还是Azuki.io吗？
6、关闭DM
私信你一些所谓的“Airdrop”、抽奖链接，或是冒充官方人员给你发一些福利，这种术多发生在Discord或Telegram——基本上不会有官方人员去私信你，世界上也没有白掉的馅饼。
这种手段成本极低，所以很频繁；我们杜绝这种有隐患最简单的方式就是直接关闭DM，这也能过滤很多垃圾信息。
7、如果不慎发生资产泄露，第一时间舍弃钱包
钱包一旦有任何一点资产泄露，就应该第一时间舍弃，不应该有任何的侥幸心理。钱包资产泄露的背后原因基本都是某一个时刻泄漏了私钥或助记词，甚至有可能是几个月前，但几个月后才被黑客想起来提走资产。
所以一旦发现风吹草动，不要有任何侥幸心理，最快速度准备一个新的钱包，将资产全部转移走才是当务之急。
8、谨防一些“课程”
Web3是有门槛的，且难就难在目前还没有一个系统的学习路径。网上是有很多课程，但是课程的质量、主讲的水平鱼龙混杂，很可能就掺假的知识混合着真的学进去了。如果在真实有效的信息中间，夹杂一些虚假的链接或带单行为，很容易使得大批小白用户受。
如何去分辨信息的真实性、有效性，如何去加强自己的信息检索能力，是所有用户来Web3都要学习的一课。
9、多去涉及擅长的领域
整个Web3所涉及的细分领域非常多，DID、Gamefi、PFP、DAO等等，我们很难去将每个领域研究透彻。Web3热点转移的速度非常快，但是对于不熟悉的领域，我们在追逐热点的时候要做好资金配比，切记不要AllIn；同理，对于熟悉的领域我们可以进行更多的资金分配。
只有对一个领域足够熟悉，以及经过多次小规模的实践和试错后，才更有可能看出出一个项目质量的优劣，作出更好的判断。
10、阅读一遍《从0到1：精通NFT》
《从0到1：精通NFT》可以放在开头，帮助大家对Web3圈子有一个初步的概念，提起大家对NFT的兴致；也可以放在各位已经踏入NFT圈子时，帮助他们进阶一步，完善对整个NFT行业，乃至Web3生态的认识。
就像我所说，整个圈子还没有一个完整的学习路径；但这个18w字的小册子，一定能够帮助各位产生自己的理解。行业中诸多热心人士都在以自己的办法，帮助圈外人打开Web3世界的大门，帮助圈内的人爬上高处——如果有一天爬高过程中劳累了，Labs的社群也可以作为一处绿荫，供诸位Web3的朋友憩息。
希望这篇文章以及《从0到1：精通NFT》，可以帮助大家避开一些坑洼，更安全的在整个Web3世界探索。
NFTLabs仅提供相关信息，不构成任何投资建议。
Twitter：@LabsNft
Discord：https://discord.gg/b9Nwd8XKsm
Telegram：https://t.me/NFTLabsSop
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。