DeFi 用户最常受到的攻击之一就是钓鱼网站。和你打开 币安 App 自动就在官方入口不同，链上协议的「官网」只是你访问合约的一种前端方式，一旦输错地址或者点错广告，可能直接在错误的网站上签了授权。本文专门讲讲 Frax 的官方入口结构与防钓鱼细节。
一、官方主入口的正确网址
Frax 协议的官方网站是 frax.finance。这是唯一推荐的主入口，所有产品（FRAX 稳定币、sFRAX、frxETH、Fraxlend、Fraxswap）都可以从这里进入。注意「.finance」是后缀，不要被「.com、.org」之类的山寨域名骗到。
相比 BN 的中心化平台被各种「币安交易所官网入口」之类的搜索结果包围，DeFi 官网的真伪只能靠你自己核对。建议把 frax.finance 加入浏览器书签，以后每次都从书签进，永远不通过搜索引擎跳转。
二、产品入口的子页面结构
frax.finance 内部的主要入口包括：Mint/Redeem（FRAX 铸造与赎回）、Swap（Fraxswap 自带兑换）、Pools（流动性池列表）、sFRAX（稳定币储蓄）、frxETH（ETH 流动性质押）、Fraxlend（借贷市场）等。每个子页面都有自己的合约地址，连接钱包时会单独签授权。
相比 必安 App 内统一账户，你在 Frax 上每个模块都要单独授权，授权时务必看清合约地址。授权过的合约可以通过 Etherscan 的「Token Approval」工具集中管理，定期清理不用的授权能显著降低被盗风险。
三、连接钱包的安全姿势
打开 frax.finance 后右上角点击「Connect」，选择你的钱包并签名。这里的「签名」分两种：一种是免 Gas 的消息签名（用于身份认证），一种是付 Gas 的链上交易（用于实际授权或交易）。
免 Gas 的消息签名也要看清楚内容，钓鱼网站常常用这种方式让你签下「转移所有 token 的同意书」。如果签名内容看不懂，不要签。这是新人最容易犯的错。
四、子产品域名与移动端
部分 Frax 子产品有自己的独立子域名，比如 fraxlend.com、fraxswap.com 等。每个域名都要单独核对真伪，不要轻信从社交媒体直接跳转的链接。
移动端建议使用集成钱包浏览器（如 Rabby 的桌面版与 MetaMask Mobile）打开，并把官方域名加入「白名单」。一些钓鱼网站会通过劫持 DNS 显示假页面，集成钱包浏览器能在一定程度上识别这种风险。
五、被钓鱼怎么办
如果不慎在钓鱼网站签了授权，第一时间打开 revoke.cash 或 Etherscan 的 Token Approval 工具，撤销所有可疑授权，把剩余资产快速转移到新地址。同时把原地址内的 NFT、稳定币、ETH 都尽快迁出。
如果资金已经被盗，立刻在区块浏览器上跟踪资金流向，并报案给当地警方与协议官方。链上资金虽然难以追回，但流向交易所后还有冻结可能。日常用 币安交易所 出入金时也要小心：钓鱼网站常常在出金地址那一步动手脚，把你的目标地址改成黑客地址。每次出金前用 币安APP 反复确认目标地址首尾几位，几秒钟的小动作能避免大额损失。