如何保护 Trezor 免受网络钓鱼攻击？ （安全提示）

验证官方购买渠道

1. 请务必直接从 trezor.io 或官方网站上列出的授权经销商处购买 Trezor 设备。

2. 避免从第三方市场、社交媒体广告或非官方 Telegram/Discord 群组购买。

3. 仔细检查域名拼写——“trezor-store.com”或“trezor-official.net”等拼写错误是常见的网络钓鱼陷阱。

4. 在购买页面输入任何个人或付款信息之前，请确认 HTTPS 和有效的 SSL 证书。

5. 交货后，检查包装是否有篡改迹象，例如密封破损、标签不匹配或 USB 端口被改动。

安全固件和恢复设置

1. 切勿通过电子邮件、短信或未经请求的通知收到的链接安装固件更新。

2. 验证官方博客上发布的 SHA256 校验和后，请始终从 trezor.io/firmware 手动下载固件。

3. 仅在 Trezor 设备屏幕上生成 12 或 24 字的恢复种子 - 切勿将其输入计算机或手机中。

4. 用笔和纸手工记下种子；切勿以数字方式存储它或截取屏幕截图。

5. 在设置过程中根据设备本身显示的官方 BIP-39 单词列表仔细检查每个单词。

交易确认最佳实践

1. 始终在 Trezor 屏幕上验证收件人地址、金额和网络费用，而不仅仅是在 MetaMask 或其他钱包 UI 中。

2. 拒绝设备显示陌生合约地址或意外代币符号的任何交易。

3. 除非绝对必要，并且只有在通过独立研究确认外部工具的合法性之后，才禁用“盲签名”。

4. 在最终批准之前，使用 Trezor Suite 的内置区块链浏览器交叉检查待处理的交易。

5. 如果设备提示确认但未显示完整详细信息，请立即断开连接并调查 dApp 来源。

避免假钱包接口

1. 为 trezor.io 添加书签，切勿通过缺乏经过验证的网站徽章的搜索引擎结果导航至该网站。

2. 切勿在任何 Web 表单中输入您的恢复短语或 PIN，即使该页面看起来与 Trezor Suite 相同。

3. 仅从官方 Chrome Web Store 或 Firefox 附加组件页面安装 MetaMask 等浏览器扩展，而不是从 GitHub gists 或 Discord 文件共享安装。

4. 检查 URL 栏是否存在细微的拼写错误：“trezor-suite.app”、“trezorsuite.dev”或“trezor-login.net”都是恶意域。

5. 启用 Trezor 的密码保护以添加仅存在于您记忆中的第二层身份验证。

常见问题解答

问：网络钓鱼网站可以模仿 Trezor Suite 的登录屏幕吗？是的。攻击者完美克隆界面（包括动画和布局），但拦截输入虚假表单的凭据。 Trezor Suite 绝不会要求您在线提供恢复种子。

问：在 Uniswap 等去中心化交易所中使用 Trezor 安全吗？是的——如果您通过 WalletConnect 或直接 USB 连接并确认设备上的每笔交易。在未首先检查智能合约地址的情况下，切勿批准无限的代币配额。

问：如果我在网络钓鱼网站上输入 PIN 码，会发生什么情况？无任何内容 — PIN 码仅在设备本地使用。但是，在任何网站上输入恢复短语或密码都会导致立即资产损失。

问：Trezor 是否像 Ledger 一样支持反网络钓鱼单词列表？不会。Trezor 依赖于硬件隔离和手动验证，而不是域名绑定的反网络钓鱼词。其安全模型假设用户在按下物理按钮之前验证所有屏幕上的数据。