Rabby Wallet 安全吗？

简短回答

从官方商店安装的正版 Rabby Wallet 是日常 EVM 使用的可靠选择，其签名前检查在实际使用中让它比许多钱包更安全。“安全”与否更多取决于你如何使用，而不是钱包本身：下载到假冒版本、在网站上输入助记词，或给盗币合约无限额度授权，任何钱包都会被清空。大额资金请将 Rabby 与硬件钱包搭配使用。

Rabby 如何保护你的私钥

• 自托管。你的助记词和私钥在你的设备上生成，并用你的密码加密存储。Rabby 的服务器不保存它们。
• 本地密码。密码只用于在该设备上解锁钱包。它不是账户密码，也无法在其他地方恢复你的资金。如果忘记密码，你需要用助记词恢复（见忘记 Rabby 密码）。
• 硬件钱包选项。使用 Ledger、Trezor、Keystone 或类似设备时，私钥永远不会接触你的电脑或手机；Rabby 只负责准备交易，交由设备签名。详见 Rabby 中的硬件钱包。
• 签名前检查。Rabby 会模拟每笔交易并显示预期的余额变化，还会标记有风险的授权、陌生的收款方和可疑合约。详见交易模拟。

开源

扩展的源代码以 MIT 许可证在 GitHub 上公开，移动应用的代码也在另一个代码库中公开（据 CryptoSlate 2026 年 10 月的报道，没有许可证文件）。公开代码让研究人员能够检查私钥是如何存储的。但这本身并不能证明商店中的版本与代码一致，因此审计和长期的历史记录同样重要。

审计

Rabby 将审计报告存放在其 GitHub 代码库的 audits 文件夹中，Least Authority 也在自己的网站上发布报告。

来源：Least Authority 审计页面；Rabby 的 GitHub 审计文件夹；CryptoSlate 测评（更新于 2026 年 10 月 24 日）。由于无法完整阅读 2026 年的报告，我们没有总结其中的发现。审计是对某一时间点代码的审查，并非保证。“未解决的问题”意味着审计方认为存在改进空间，而在报告发布时 Rabby 尚未采纳；这并不意味着资金面临已知漏洞的威胁。

2022 年 10 月 Rabby Swap 被攻击事件

Rabby Swap 于 2022 年 9 月 14 日上线。2022 年 10 月 11 日，攻击者利用兑换合约中的一个缺陷，在多条链上转走了曾向该合约授权的用户的代币（The Block，2022 年 10 月 11 日）。据报道损失约 114 ETH 和 179 BNB，按当时价格约合 20 万美元（Web3 Is Going Great；CryptoSlate）。该合约曾经过 PeckShield 审计，但审计未发现这一缺陷。

Rabby 要求所有用过 Swap 的用户在所有链上撤销全部授权，并表示从未使用过 Swap 的钱包不受影响。私钥未受影响。一些后来的测评称受害者获得了赔付，但我们未能找到 Rabby 关于此事的原始声明。旧合约无法暂停，因此任何仍指向它的授权都存在风险。这个教训适用于所有钱包：对合约的授权会一直有效，直到你撤销为止。用授权解读器检查你的授权，并撤销旧授权。更多事件见 Rabby 安全事件历史。

静默签名漏洞，2026 年 8 月

2026 年 8 月，安全研究员 V12 披露了扩展中的一个缺陷：你已连接过的恶意网站可以在你看不到的情况下获取签名，但前提是你的自动锁定时间设为 10 分钟。Rabby 的代码修复确保待处理的签名请求不再能仅通过解锁钱包就被批准。修复后的扩展于 2026 年 8 月 11 日发布；移动应用未受影响，也没有被利用的报告（TechFlow，2026 年 8 月 20 日；Rabby GitHub）。请保持 Rabby 为最新版本。

2025 年 9 月，在一场针对热门 JavaScript 包的大范围攻击中，Rabby 表示其钱包未受影响，因为它锁定了依赖版本（Rabby 官方 X 账号，2025 年 9 月 9 日，据 IQ.wiki 总结）。

更大的风险：假冒 Rabby 钱包

与 Rabby 相关的损失中，仿冒造成的远多于漏洞：

• App Store 假冒应用（2024 年 2 月）。一款名为“Rabby Wallet & Crypto Solution”、开发者为“Solution Development”的应用，在 Rabby 正版 iOS 应用发布前窃取用户助记词。Rabby 于 2024 年 2 月 16 日向用户发出警告（ForkLog）。
• 假冒 Firefox 插件（2025 年和 2026 年）。Socket 的研究人员在 40 个将钱包数据发送给攻击者的恶意 Firefox 插件中，发现了 13 个经过篡改的 Rabby 版本（The Hacker News，2026 年 8 月 20 日），并在 2026 年 10 月又发现了 4 个 Rabby 克隆版。Rabby 没有官方 Firefox 插件。
• 假冒网站。Rabby 的搜索结果中充斥着托管在免费平台、课程平台和被黑网站上的仿冒下载页面。

详情及补救步骤：假冒 Rabby 钱包骗局。

签名窗口中的危险信号

Rabby 的弹窗给了你信息，但你仍需亲自阅读。看到以下任何一种情况，请停下并拒绝：

• 出现你没预料到的代币转出，例如一个“免费铸造”或“领取”操作却显示你的 ETH 或稳定币将被转出。
• 针对你并未交易的代币的授权或 permit，尤其是无限额度，或被授权方被 Rabby 标记为新地址或有风险。
• “set approval for all”请求，出现在你不了解的网站上、针对某个 NFT 系列。它会把该系列中的所有 NFT 都交出去。
• 你看不懂的链下签名（permit）。签署一条消息就可能授权一笔转账，而当下不花任何 Gas。
• “首次转账”的收款方，而你以为自己之前用过这个地址。这是地址投毒的典型迹象；用地址检查器比对完整地址。
• 网站不是你本想访问的那个。检查请求中显示的域名。

坦诚说明其局限

• 它是热钱包。私钥存放在联网设备上。你电脑或手机上的恶意软件，或恶意浏览器扩展，仍可能窃取私钥。
• 浏览器风险。你安装的其他每个扩展都能读取和修改网页，其中一些还可能被攻击者接管。尽量少装扩展。
• 警告可以被忽略。Rabby 允许你无视警告继续签名，对于不常见的交易仍可能出现盲签。
• 模拟有局限。它显示的是此刻会发生什么；它无法预测已获授权的合约日后会做什么，也未必能在每个自定义网络上运行。
• 弱密码会削弱本地加密。请使用足够长且独一无二的密码。

如何安全使用 Rabby

1. 只从官方商店安装。亲手输入 rabby.io 或使用书签，并核对扩展 ID acmacodkjbdgmoleebolmdjonilkdbch（可使用验证工具）。
2. 把助记词抄写在纸上或金属板上，离线保存。详见助记词备份。
3. 切勿在网站、聊天或表单中输入助记词。Rabby 和 DeBank 从不索要助记词，真正的客服也从不会主动私信你。
4. 每次签名都要阅读余额变化预览。如果显示有你没预料到的代币转出，立即停止。
5. 避免无限额度授权，并定期撤销旧授权。
6. 储蓄资金使用硬件钱包，热钱包账户里只放日常花销。
7. 保持浏览器和 Rabby 为最新版本，并移除不需要的扩展。

常见问题