如何安全使用錢包連線功能？

了解 WalletConnect 協定基礎知識

1. WalletConnect 作為開源、去中心化中繼協定運行，可在不暴露私鑰的情況下實現錢包和 dApp 之間的安全通訊。

2. 它只使用橋接伺服器作為訊息轉發中介 — 中繼上不儲存任何會話資料或加密資料。

3. 每個會話都使用包含加密元資料的唯一配對 URI 啟動，該元資料經過掃描或深度連結以建立信任邊界。

4. 協定強制執行嚴格的來源驗證：dApp 必須在會話提案期間聲明其網域和鏈 ID，錢包在批准之前顯示這些詳細資訊。

5. 會話加密依賴於錢包和 dApp 之間的 ECDH 金鑰交換，產生用於所有有效負載加密的每個會話 AES-256 對稱金鑰。

保護您的行動錢包設置

1. 始終從官方應用程式商店專門下載 MetaMask Mobile——第三方 APK 可能會注入惡意簽章掛鉤。

2. 在錢包設定中啟用生物辨識身份驗證，以便每筆交易或會話批准都需要指紋或臉部驗證。

3. 停用超過60秒的自動鎖定逾時；如果設備無人看管，較短的鎖定間隔可減少暴露。

4. 切勿授予「簽署所有訊息」權限 - 單獨審查每個簽名請求，尤其是那些包含十六進位編碼有效負載或原始位元組的簽名請求。

5. 定期在「設定」>「安全性」>「連線網站」下審核連線的 dApp，並撤銷未使用或可疑來源的存取權限。

DApp互動過程中的安全連結實踐

1. 在點擊「連接錢包」之前手動驗證 dApp 的網域和 SSL 憑證－仿冒網站通常會模仿合法介面。

2. 在批准會話之前，確認顯示的網路符合您的意圖（例如，以太坊主網與 Sepolia 測試網）。

3. 在沒有明確理由的情況下拒絕要求不必要的權限（例如「讀取交易歷史記錄」或「自動批准交換」）的連線請求。

4. 避免掃描螢幕截圖或轉發影像中的二維碼－僅掃描由受信任的 dApp 網域產生的即時螢幕程式碼。

5. 在簽署任何引用不熟悉的合約地址的交易之前暫停，尤其是那些在 Etherscan 或 Blockscout 上缺乏經過驗證的源代碼的交易。

會話級加密保護

1. 每個 WalletConnect v2 會話都綁定到特定的鏈 ID 和可選的帳戶命名空間，防止跨鏈重播攻擊。

2. 所有有效負載均使用錢包的活動帳戶金鑰進行簽名，並包含帶有時間戳記的會話 ID，以防止訊息重複或基於延遲的攻擊。

3. 中繼伺服器無法解密有效負載（即使受到威脅），因為加密金鑰僅存在於客戶端裝置上。

4. WalletConnect v2 引入了基於主題的加密，其中每個會話都有一個源自共享金鑰和鹽的唯一主題，從而隔離訊息流。

5. 訊息完整性是透過在傳輸前根據加密的有效負載和會話元資料計算的 HMAC-SHA256 簽章來強制執行的。

常見問題解答

Q1.惡意 dApp 可以透過 WalletConnect 提取我的私鑰嗎？不會。 WalletConnect 絕不會傳輸私鑰、種子短語或解密的簽署資料。簽名僅發生在錢包的安全區域內。

Q2。如果我在 WalletConnect 會話處於活動狀態時丟失手機會怎樣？活動會話保持有效，直到手動斷開連線或過期。您必須立即透過其他授權裝置撤銷它們或在新裝置上恢復錢包並遠端斷開連線。

Q3。透過公共 Wi-Fi 使用 WalletConnect 安全嗎？是的，因為所有會話流量都是端對端加密的。但是，由於潛在的端點洩露，請避免在不受信任的網路上輸入敏感憑證或執行高價值交易。

Q4。為什麼即使連接到已知平台，我的錢包仍顯示“未知 dApp”？當 dApp 未能在會話提案中正確聲明其元資料（名稱、圖示、URL）時，就會發生這種情況 - 在批准之前始終檢查原始會話請求詳細資訊。