使用 UniSat 时如何避免钓鱼网站？ （安全提示）

了解 UniSat 钱包安全基础知识

1. UniSat 是专为 Bitcoin 区块链设计的 Bitcoin Ordinals 钱包，支持铭文和 BRC-20 代币。其安全模型严重依赖于用户控制的私钥和严格的域验证。

2. UniSat 官方网站只能通过https://unisat.io访问。任何变体（例如 unisat-wallet.com、unisat-official.net 或 unisat.io.co）都应被视为恶意。

3. UniSat 绝不会主动发送请求种子短语、私钥或钱包密码的电子邮件、私信或短信。合法的交互仅发生在经过验证的浏览器扩展或移动应用程序界面内。

4. UniSat 浏览器扩展仅通过 Chrome Web Store 和 Firefox Add-ons 平台分发。第三方下载网站通常会捆绑恶意软件或盗取凭据的伪造版本。

5. 每个 UniSat 钱包实例在设置过程中都会生成一个唯一的 12 字 BIP-39 助记词短语。此短语绝不能在任何网页上输入、通过聊天共享或存储在云笔记中。

识别假 UniSat 域和克隆接口

1. 网络钓鱼网站经常使用 Unicode 字符来模仿合法域名，例如，在“unisаt.io”中使用西里尔字母“а”而不是拉丁语“a”。输入凭据之前，请务必逐个字符地检查地址栏。

2. 虚假登录页面以像素完美的精度复制 UniSat 的 UI，但缺乏 HTTPS 证书有效性或在浏览器中显示证书警告。单击挂锁图标可显示发行人详细信息； UniSat 的证书由 Cloudflare 颁发。

3. 可疑 URL 可能包含附加到不相关域的子目录，例如 /login/、/wallet/connect 或 /verify/。 UniSat 不在外部路径上托管身份验证流。

4. 诈骗者嵌入虚假的“连接钱包”按钮来触发 MetaMask 或 UniSat 弹出窗口，但这些按钮源自恶意脚本，而不是官方 dApp 后端。将鼠标悬停在此类按钮上会显示真实的目标 URL。

5. 为官方网站添加书签并禁用钱包相关字段的自动填充功能，可以防止意外导航到浏览器历史记录中保存的欺骗条目。

保护您的浏览器环境

1. 安装 uBlock Origin 等信誉良好的广告拦截器，以防止恶意广告活动推送虚假的 UniSat 横幅或伪装成网络警报的弹出窗口。

2. 使用 NoScript 或 QuickJS Toggle 对不受信任的站点禁用 JavaScript。许多网络钓鱼工具包依靠内联脚本执行在地址粘贴期间劫持剪贴板内容。

3. 使用专用浏览器配置文件进行加密活动。这将 cookie、扩展程序和缓存凭据与恶意软件可能持续存在的一般浏览会话隔离开来。

4. 启用基于硬件的网络钓鱼防护功能，例如 Google 密码管理器的安全检查或 Brave 的内置反网络钓鱼数据库，这些功能可以实时标记已知的 UniSat 冒充者。

5. 定期审核已安装的扩展。据观察，“Bitcoin Wallet Helper”或“Ordinals Toolkit”等恶意插件会将假 UniSat 模式注入合法页面。

验证链下交易签名

1. 在确认任何铭文铸造或 BRC-20 转移之前，请使用气隙设备或离线签名工具对照您的预期目的地交叉检查收件人地址和金额。

2. UniSat 在签名之前显示原始交易十六进制和输入/输出详细信息。使用独立解码器（如 bitcoinexplorer.org）将输出 scriptPubKey 哈希与预期接收地址进行比较。

3. 切勿批准通过 Telegram、Discord 或 X (Twitter) 收到的链接触发的交易。这些通常会导致恶意 dApp 请求过多权限或模拟余额更新。

4. 启用 UniSat 的“高级模式”以显示低级交易字段，包括序列号、锁定时间和叹息标志，这些参数很少被网络钓鱼接口正确操纵。

5. 与主网使用并行地维护测试网钱包。首先在 Signet 或测试网上进行试验铭文，以观察没有财务风险的行为。

常见问题解答

问：UniSat 支持生物识别登录吗？答：不可以。UniSat 不实施指纹或面部识别来访问钱包。任何提示生物识别身份验证的界面都是欺诈性的。

问：如果我丢失了扩展程序，我可以恢复我的 UniSat 钱包吗？答：可以——如果您保留 12 个单词的助记词。重新安装官方扩展并使用这些词进行恢复。没有他们，恢复是不可能的。

问：为什么 UniSat 在某些网站上要求“钱包连接”权限？答：合法的 dApp 请求连接仅读取公共地址和网络状态。如果没有明确的用户确认每笔交易，UniSat 绝不会授予签名权限。

问：UniSat 移动应用程序二维码扫描安全吗？答：仅当二维码源自经过验证的 UniSat 移动应用程序界面时。从屏幕截图、未知网站或未经请求的消息中扫描代码具有很高的欺骗风险。