指南 · 更新于 2026 年 10 月 26 日

这些手法实际上如何运作

不是一串警告。而是对机制的解释，让你能自己识别出来。

这里的每篇指南都讲解扫描器查找的一种手法。每篇都会说明这种手法是怎么构造的、为什么令人信服、如何用不止一种方法检查它——以及在每种情况下，干净的结果仍然无法告诉你什么。

没有推广链接。没有代币推荐。这里的任何内容都不是理财建议。

想练习而不是阅读？Spot the Trap 有简短的挑战：读一条虚构的消息，选择你的下一步，然后查看解释。

已发布

买入成功了。卖出却每次都失败。限制不在价格里——它写在代币的合约中，在你花钱之前几秒钟就能检查出来。

两条消息可能看起来一模一样，却包含完全不同的字符。零宽字符、方向控制符、Unicode Tags 区块和形似字母——页面上还有一个准备好的示例，你可以复制并自己扫描。

你把一些内容粘贴到 AI 助手里，其中却包含你从未写过的指令。它们使用的四种模式、为什么间接注入是更难的那一半问题，以及为什么你的助手被允许做的事情越多，同样的文字就越重要。

加密世界中代价最高的一条消息，逐行拆解。为什么没有任何客服、迁移、空投或安全检查曾经需要你的恢复短语——以及如果你已经输入了，最初十分钟该怎么做。

网址会准确告诉你它去往哪里——只是不按你阅读的顺序。如何不打开链接就检查它、伪装链接的主要手法，以及结构扫描能告诉你什么、不能告诉你什么。

受制裁的钱包看起来和其他钱包一样，区块链会毫不犹豫地向它付款。被列入名单意味着什么、你如何在不知情的情况下接触到它、为什么“我不知道”并不能让它合法——以及检查能看到什么、看不到什么。

开头像你的。结尾像你的。但它不是你的。地址投毒如何在你的交易记录中植入一个仿冒地址、6800 万美元的案例，以及击败它的五个习惯。

聊天机器人那句 “Certainly! Here is a message you can send:” 跟着进了你的邮件。什么是 AI 残留、为什么你的眼睛会跳过它们，以及如何在发送前发现它们——而不假装能检测 AI。

你的编程智能体会安装 README 或 issue 评论让它安装的东西。本地守卫如何先检查每一次 npm install、为什么扫描和决定要分开，以及它仍然看不到什么。

授权不是付款，但它是支出许可。approve、set approval for all、Permit 和 Permit2 能授权什么、签名前的五项检查，以及如何查看和撤销你已经授予的权限。

仿冒地址只需要在一瞬间看起来眼熟。如何找到真正重要的那个域名、仿冒背后的字母表和拼写手法、威胁列表能告诉你什么和不能告诉你什么，以及降低风险的习惯。

有人知道了他们不该知道的事。账户访问、共享设置、监控应用和雇佣型间谍软件需要不同的应对：什么值得仔细查看、如何安全地寻求帮助，以及我们的间谍软件检查能告诉你什么、不能告诉你什么。

欢迎通过项目的 issue 跟踪器建议接下来要写的主题。