进入 DApp 前应该检查哪几个地方？五项连接前清单

一句话：「连接钱包」不直接偷资产，但它是钓鱼链条的第一环——连接前不检查，后面每一步都在给骗子递工具。

真实案例

Ethereum 官方安全页把「假 DApp / 假链接」与「智能合约支出权限」并列为高频风险：用户从社群链接进入高仿 DApp，连接、签名一气呵成，直到资产消失才回头找原因。

骗子是怎么操作的

1. 用空投、抽奖、「空投查询工具」等名义把用户引到高仿 DApp；
2. 界面刻意模仿主流协议，连接按钮放在最显眼位置；
3. 连接后立刻弹出「Claim / Mint / 领取」签名——内容是授权或转账。

连接前五项检查

1. 来源：你是从书签 / 本站项目页 / 官方 X 置顶进入的吗？还是从广告、社群、私信链接？
2. 域名：地址栏逐字核对（复习钓鱼站六特征）；
3. 合约：交互涉及的代币合约，在区块浏览器核对过吗？
4. 权限请求：连接后弹出的签名/授权，读一遍内容——授权对象是谁、额度多少、有没有「无限」字样；
5. 隔离钱包：交互钱包里是不是只放了可承受损失的资金？

如何避免

1. 把这五项做成固定流程，每次连接过一遍；
2. 长期使用的 DApp 全部书签化；
3. 任何「不签就无法继续」的页面，先停下来到官方渠道确认这是否该流程的必要步骤。

如果已经连接并签名

按签名类型处理：授权类 → revoke.cash 撤销；转账类 → 资产已离开，立即迁移剩余资产并保留证据（交易哈希）。

来源

• Ethereum.org：Security · 访问于 2026-10-02
• MetaMask 官方安全中心 · 访问于 2026-10-02