Acercándose el Año Nuevo Lunar, es tiempo de despedir lo viejo y dar la bienvenida a lo nuevo, y también es un momento para reflexionar:

¿Te has topado con estafas de proyectos Rug Pull el año pasado? ¿Has «comprado y te has quedado atrapado» debido a la promoción de KOLs que incitan a comprar? ¿O has sufrido ataques de phishing cada vez más rampantes, resultando en pérdidas por hacer clic en enlaces incorrectos o firmar contratos incorrectos?

Objetivamente, el Año Nuevo Lunar no crea riesgos, pero es probable que los amplifique: cuando aumenta la frecuencia del flujo de fondos, cuando la atención se distrae con los arreglos festivos, cuando se acelera el ritmo de las transacciones, cualquier pequeño error es más fácil de magnificar y convertirse en una pérdida. Por lo tanto, si estás planeando ajustar posiciones o organizar fondos cerca de las vacaciones, ¿por qué no le das a tu billetera una «revisión de seguridad previa a las vacaciones»? Este artículo también partirá de varios escenarios de riesgo reales y frecuentes para revisar sistemáticamente qué operaciones específicas pueden realizar los usuarios comunes.

I. Ten cuidado con las estafas de «intercambio de rostros con AI» y simulación de voz

El recientemente popular SeeDance 2.0 en toda la red, una vez más, hace que todos se den cuenta de un hecho, es decir, en la era de la penetración acelerada de la AGI, «ver para creer, oír para creer» está fallando. Se puede decir que, a partir de 2025, las tecnologías de fraude de video y voz basadas en AI se han vuelto obviamente muy maduras, incluyendo la clonación de voz, el intercambio de rostros en video, la imitación de expresiones en tiempo real y la simulación de tono, todo lo cual ha entrado en una «etapa industrializada» de bajo umbral y replicación escalable.

De hecho, basándose en la AI, ahora incluso es posible restaurar con precisión la voz, la velocidad del habla, los hábitos de pausa e incluso las microexpresiones de una persona, lo que significa que este riesgo es particularmente fácil de magnificar durante el Festival de Primavera.

Por ejemplo, estás en camino a casa o en medio de una reunión con familiares y amigos, y aparece un mensaje en tu teléfono, es un «amigo» en tu libreta de direcciones que te envía un mensaje de voz o video a través de Telegram o WeChat, con un tono urgente, diciendo que su cuenta está restringida, que necesita hacer circular un sobre rojo o que necesita pagar temporalmente una pequeña cantidad de tokens, pidiéndote que transfieras dinero inmediatamente. La voz suena perfecta, e incluso hay una «persona real» en el video, entonces, ¿cómo juzgarías en una situación en la que tu atención está distraída por los arreglos festivos?

Si fuera en años anteriores, la verificación de identidad por video sería casi la forma más confiable, pero hoy en día, incluso si la otra persona enciende la cámara para hablar contigo, ya no es 100% confiable. En este contexto, simplemente mirar un video o escuchar un segmento de voz ya no es suficiente para constituir una verificación. Una forma más segura es establecer un mecanismo de verificación independiente de la comunicación en línea con el círculo central (familiares, socios, socios de colaboración a largo plazo), como contraseñas fuera de línea que solo ustedes conocen, o algunas preguntas detalladas que no se pueden inferir de la información pública.

Además, también es necesario reexaminar un riesgo común basado en la ruta, es decir, reenviar enlaces a través de conocidos. Después de todo, según la práctica habitual, durante el Festival de Primavera, los «sobres rojos en la cadena» y los «beneficios de airdrop» son muy fáciles de convertirse en entradas de inducción de propagación viral en el círculo Web3. Muchas personas no son engañadas por extraños, sino porque confían en los reenvíos de conocidos, haciendo clic así en páginas de autorización cuidadosamente disfrazadas.

Por lo tanto, todos también deben recordar un principio simple pero extremadamente importante: no hagas clic directamente en ningún enlace de origen desconocido a través de plataformas de redes sociales, y mucho menos autorices, incluso si proviene de un «conocido». Lo mejor es que todas las operaciones en la cadena vuelvan a los canales oficiales, las URL de marcadores o las entradas confiables, en lugar de completarse en la ventana de chat.

II. Realiza una «limpieza de fin de año» en tu billetera

Si el primer tipo de riesgo proviene de la confianza falsificada por la tecnología, entonces el segundo tipo de riesgo proviene de las exposiciones de riesgo ocultas que hemos acumulado durante mucho tiempo. Como todos sabemos, la autorización es el mecanismo más básico y fácil de ignorar en el mundo DeFi.

Cuando operas en una DApp, esencialmente le estás dando a un contrato un poder de disposición de tokens, que puede ser único o de cantidad ilimitada, puede ser efectivo a corto plazo o puede seguir siendo efectivo cuando ya hayas olvidado que existe. En última instancia, puede que no sea un punto de riesgo que entre en vigor de inmediato, pero es una superficie de exposición al riesgo que existe continuamente.

Muchos usuarios creen erróneamente que mientras los activos no se almacenen en el contrato, no hay problemas de seguridad. Pero en el ciclo del mercado alcista, todos a menudo intentan varios protocolos nuevos, participan en airdrops, staking, minería e interacciones en la cadena, y los registros de autorización se acumulan constantemente. Cuando la popularidad disminuye, muchos protocolos ya no se utilizan, pero los permisos aún se conservan.

Con el tiempo, estas autorizaciones históricas excedentes son como un montón de llaves sin limpiar, y una vez que un protocolo que ya has olvidado tiene una vulnerabilidad de contrato, es fácil que se produzcan pérdidas.

Y el Festival de Primavera es un nodo de organización natural. Es una acción que vale la pena realizar para que todos aprovechen la ventana de tiempo relativamente estable antes del festival para verificar sistemáticamente sus registros de autorización una vez:

Específicamente, puedes revocar las autorizaciones que ya no se utilizan, especialmente las autorizaciones de cantidad ilimitada; adoptar autorizaciones de cantidad limitada para los activos grandes que se mantienen diariamente, en lugar de abrir todos los permisos de saldo a largo plazo; y separar la gestión de los activos almacenados a largo plazo y los activos operativos diarios para formar una estratificación estructural de billeteras calientes y billeteras frías.

En el pasado, muchos usuarios necesitaban utilizar herramientas externas (como el sitio web revoke.cash) para completar este tipo de verificación. Ahora, las principales billeteras Web3 también han incorporado capacidades de detección y revocación de autorización, y pueden ver y administrar directamente las autorizaciones históricas dentro de la billetera.

En última instancia, la seguridad de la billetera no es nunca autorizar, sino el principio de privilegio mínimo: solo otorgar los permisos necesarios en el momento y recuperarlos a tiempo cuando ya no sean necesarios.

III. No seas negligente al viajar, socializar y realizar operaciones diarias

Si los dos primeros tipos de riesgo provienen respectivamente de la actualización tecnológica y la acumulación de permisos, entonces el tercer tipo de riesgo proviene de los cambios ambientales. Viajar durante el Festival de Primavera (volver a la ciudad natal, viajar, visitar a familiares y amigos) a menudo significa cambios frecuentes de dispositivos, entornos de red complejos y escenas sociales densas. En este entorno, la fragilidad de la gestión de claves privadas y las operaciones diarias se magnifica obviamente.

La gestión de frases mnemotécnicas es el ejemplo más típico. Guardar capturas de pantalla de frases mnemotécnicas en álbumes de fotos de teléfonos móviles, discos en la nube o reenviarlas a uno mismo a través de herramientas de mensajería instantánea a menudo se hace por conveniencia, pero en escenarios móviles, esta conveniencia constituye precisamente el mayor peligro oculto.

Por lo tanto, recuerda que las frases mnemotécnicas deben mantenerse físicamente aisladas, evitando cualquier método de almacenamiento conectado a la red. La línea de fondo de la seguridad de la clave privada es desconectarse de la red.

Las escenas sociales también necesitan conciencia de los límites. Mostrar páginas de activos grandes o discutir escalas de tenencia específicas en reuniones festivas a menudo es involuntario, pero puede sentar las bases para riesgos posteriores.

Lo que es aún más importante es tener cuidado con el comportamiento de guiar la descarga de aplicaciones o complementos de billetera disfrazados en nombre de «intercambio de experiencias» o «guía de enseñanza». Todas las descargas y actualizaciones de billeteras deben completarse a través de canales oficiales, en lugar de saltar a través de ventanas de chat sociales.

Además de esto, debes confirmar tres cosas antes de transferir dinero: la red, la dirección y el monto. Después de todo, ha habido demasiados casos de whales que han perdido una gran cantidad de activos debido a errores operativos causados por ataques de direcciones similares en los números iniciales y finales, y ataques de phishing similares se han industrializado en los últimos seis meses:

Los hackers a menudo generan en masa direcciones en la cadena con diferentes números iniciales y finales como un banco de semillas preparado. Una vez que una dirección tiene una transferencia de fondos con el mundo exterior, inmediatamente llaman a un contrato para realizar una transferencia asociada encontrando la dirección con los mismos números iniciales y finales en el banco de semillas, lanzando una red amplia y esperando la cosecha.

Dado que algunos usuarios a veces copian directamente la dirección de destino en el registro de transacciones y solo verifican los primeros y últimos dígitos, son engañados. Según Yu Xian, el fundador de SlowMist, el ataque de phishing dirigido a los números iniciales y finales, «lo que los hackers están jugando es un ataque de lanzamiento de red, el que quiera morder el anzuelo, un juego de probabilidad».

Debido a que el costo del Gas es extremadamente bajo, los atacantes pueden envenenar por lotes cientos o incluso miles de direcciones, esperando que algunos usuarios cometan errores al copiar y pegar. Un solo éxito es mucho más rentable que el costo.

Y estos problemas no radican en lo compleja que es la tecnología, sino en los hábitos operativos diarios de todos: verificar completamente los caracteres de la dirección, en lugar de solo verificar los números iniciales y finales; no copiar directamente las direcciones de transferencia del historial sin verificar; realizar primero una pequeña prueba al transferir a una nueva dirección por primera vez; utilizar prioritariamente la función de lista blanca de direcciones para gestionar de forma fija las direcciones de uso común;

En el sistema descentralizado actual basado principalmente en cuentas EOA, el usuario mismo es siempre su primer responsable y la última línea de defensa.

Escrito al final

Muchas personas siempre sienten que el mundo en la cadena es demasiado peligroso y no es amigable para los usuarios comunes. Siendo realistas, Web3 ciertamente es difícil de proporcionar un mundo sin riesgos, pero puede convertirse en un entorno donde los riesgos se pueden gestionar.

Por ejemplo, el Festival de Primavera es un momento de desaceleración, y también es la ventana de tiempo más adecuada del año para organizar la estructura de riesgo. En lugar de operar temporalmente a toda prisa durante el festival, es mejor completar la verificación de seguridad con anticipación; en lugar de remediar después del hecho, es mejor optimizar los permisos y los hábitos con anticipación.

Les deseo a todos un Festival de Primavera seguro y sin problemas, y también les deseo a los activos en la cadena de todos un año nuevo estable y sin preocupaciones.