入门科普

GoldPesaToken 钩子合约遭利用：新手应检查的三步安全操作

2026-10-04 · 来源：SlowMist：GoldPesaToken 因 GPXHooks 合约漏洞损失约 11.49 万美元 · #入门 #下载 #费率

SlowMist 于 2026-10-04 披露 GoldPesaToken 的 GPXHooks 合约漏洞导致约 11.49 万美元损失。该事件不直接影响交易所账户，但暴露链上授权管理的关键风险。

一句话结论

SlowMist 在 2026-10-04 披露，GoldPesaToken 因 GPXHooks 合约漏洞被利用，损失约 11.49 万美元。对刚下载 App、准备开户的用户而言，此事本身不影响你的交易所账号，但它明确提醒一点：链上合约出问题时，钱包里的授权和余额无人替你兜底。

关系不在 GoldPesaToken 项目本身，而在你手机里已安装的应用和已授予的链上权限。

据 SlowMist 2026-10-04 披露，问题源于 GPXHooks 这类「可插拔钩子」合约。这类合约会在转账等操作前后自动执行额外逻辑。它提升了功能灵活性，但也引入了一层用户通常不可见、却直接操控资产的代码。一旦编写有误或遭恶意利用，损失发生在链上，与交易所登录页面无关。

因此，在下载和开户流程中，必须厘清两个关键事实：

下载环节，首要任务是确认「我安装的是否为真实应用」。方法简单直接：不点击搜索引擎结果、微信群链接或短视频评论区跳转地址。

先访问 coin-download 的核对说明页：/zh-CN/verify/，按指引核验官网域名与应用包名。
安卓用户请通过 /zh-CN/download/binance-android/ 下载，iPhone 用户请通过 /zh-CN/download/binance-ios/ 下载，电脑端请通过 /zh-CN/download/binance-pc/ 下载。
安装完成后，勿急于充值。先启用二次验证，再设置提币地址白名单。这两项完成，账号才具备基础防护能力。
实际操作时，请统一从 /go/binance/ 进入，系统将自动跳转至对应平台入口。

说明：本文仅以文字形式提及 binance.com 域名作为参考，不将其设为可点击链接，亦不包含任何含邀请码的注册地址。

第一件：区分钱包与交易所。链上钱包中的代币由私钥控制，无需「开户」；交易所账号需完成身份认证与开户流程。二者安全机制不同，不可混用同一套操作习惯。

第二件：把授权当作账单定期核查。每隔一段时间，使用区块浏览器或钱包内置的授权管理工具，查看自己曾向哪些合约授予权限，并及时撤销不再使用的授权。本次事件涉及 GPXHooks 合约（来源：SlowMist，2026-10-04），普通用户无需理解代码细节，只需养成定期清理授权的习惯。

第三件：对陌生代币、陌生空投或要求「先授权再领取」的网页保持暂停。真实项目不会因你多思考十分钟而失效，骗局却会因你犹豫而暴露破绽。

如需补全基础概念，可查阅 /zh-CN/glossary/，重点理解「授权」「钩子」「私钥」等术语，再决定是否进行链上操作。

Q：GoldPesaToken 这次损失多少，谁说的？ A：约 11.49 万美元，由 SlowMist 在 2026-10-04 披露。这个数字是事件层面的损失统计，不是对任何代币价格的判断。

Q：我用交易所 App，会不会被这个漏洞波及？ A：这次问题出在链上的 GPXHooks 合约（来源：SlowMist，2026-10-04）。你在交易所的账号安全，取决于密码、二次验证和提币白名单，跟这个合约不是一回事。

Q：下载 App 之后，第一件事做什么？ A：先核对入口，再开二次验证，然后设提币白名单。顺序别反过来，先入金再补安全设置，是最常见的后悔路径。

Q：我该不该因为这个事件换钱包或换平台？ A：本文不给这个建议。事件本身不构成换平台的理由，你可以先按上面的清单检查自己的授权记录，再自己决定。

加密资产价格波动大，链上合约存在被利用的可能，任何操作都可能造成本金损失。本文只做信息整理与操作路径说明，不构成投资建议，也不预测价格走势、不承诺任何收益。

本文包含联盟链接：读者通过页面中的 /go/binance/ 进入并完成相关操作时，coin-download 可能获得佣金。这不影响本文对事件的描述，所有事实与数字均标注来源与时间。

请自行核对官方入口与当地适用规则，谨慎决定是否下载、开户或进行任何链上操作。

本文为独立第三方信息整理，非官方发布，不构成投资建议。