定期撤销闲置授权
每个月花两分钟打开revoke.cash或钱包自带的授权管理，把不再使用的DApp授权全部撤销。尤其是那些只交互过一次的网站，留着授权就是留后门。
真以太坊官网域名是ethereum.org，没有多余前缀后缀。搜索时认准无广告标识的自然结果，别点带“赞助”字样的链接，假站通常多一个字母或少一个横杠。
在以太坊官网找到的合约地址，复制到Etherscan查是否已验证开源。未验证的合约别交互，你根本不知道代码里写了什么后门。
第一次进以太坊官网，先别急着点“连接钱包”。花十分钟把页面上的“Learn”板块扫一遍，了解钱包和gas的基本概念。然后从官网推荐的钱包列表里选一个下载，别在应用商店搜名字乱装。装好后先只放0.01ETH试一笔小额转账，走通整个流程再考虑加大金额。记住：官网永远不会催你赶紧操作。
每个月花两分钟打开revoke.cash或钱包自带的授权管理，把不再使用的DApp授权全部撤销。尤其是那些只交互过一次的网站，留着授权就是留后门。
没有一键全撤的办法，但可以用revoke.cash批量勾选多个授权一起撤销，省gas也省时间。先撤那些你完全不记得的网站，再撤大额代币的无限授权，最后把不常用的DApp授权清掉。
用硬件钱包连接DApp时，屏幕会显示实际交互的合约地址。别只看电脑屏幕，以硬件钱包屏幕显示为准。骗子能改网页显示，改不了硬件钱包的屏幕。
准备一个只放少量ETH的热钱包专门用来连接DApp和铸造NFT，大额资产放冷钱包或单独地址。就算小钱包被钓，损失也在可承受范围内。
看不懂就别签。直接关掉弹窗重新操作，或者换一个DApp。正经应用不会给你不明不白的签名请求。如果是Permit类型签名更要警惕，它可能授权对方转走你的代币。
在钱包里开启交易模拟功能，签名前能看到资产变化预览。如果模拟结果显示转出的是你没打算动的代币，立刻取消。多数主流钱包都支持这个功能。
发现冒充以太坊官网的钓鱼站，直接向Google Safe Browsing和钱包官方提交举报。你的一次举报可能让下一个搜索的用户少踩一个坑。
连接DApp时如果要求无限额度授权，手动改成刚好够用的数量。很多被盗案例就是授权了无限USDT额度，骗子随时能把余额清空。定期用revoke工具检查。
看域名，只有ethereum.org是官方的。结果前面带“广告”或“赞助”标的一律跳过。再看描述里有没有拼写错误，假站常把Ethereum写成Etherum之类的。书签保存一次以后就不用每次判断了。
手机浏览器钓鱼风险比电脑高，因为地址栏短、容易看走眼。建议用钱包App内置的DApp浏览器访问，或者在手机浏览器里手动输入完整域名。别在微信或电报里点别人发的“以太坊官网”链接。
钓鱼站每天都在更新，你的防御也得跟上。现在就把官网加书签、把授权扫一遍，顺手把这篇发给刚入圈的朋友。安全这件事，早做一步少亏一笔。