钱包安全设置：我踩过的坑和你的防身清单
钱包安全这事，说多了都是泪。我见过太多人，包括我自己早期，把助记词截图存手机相册，结果手机送修时被维修小哥翻了个底朝天。今天不扯虚的，直接说怎么设置才不掉币。
助记词：别用任何电子设备碰它
助记词是钱包的命根子。12或24个单词，谁拿到谁就是资产主人。
我现在的做法：用金属助记词板刻下来。淘宝几十块到几百块都有，防火防水防腐蚀。别用纸抄——南方回南天能把你助记词泡烂。
如果你非要用纸，买支防水记号笔，写在Tyvek材质纸上。普通A4纸三年后字迹模糊是常事。
绝对不要做的事：
- 截图存相册（iCloud自动同步，黑客撞库直接拿到）
- 存微信收藏/备忘录（服务器明文存储案例不是一次两次）
- 发给自己的邮箱（等于把钥匙挂在门上）
- 分片存不同地方（除非你用Shamir备份，否则丢一片全完蛋）
硬件钱包：不是买了就万事大吉
Ledger和Trezor我都用过。说几个实际设置细节：
PIN码设置： 别用生日。Ledger连续输错3次自动重置，Trezor是16次。但如果你PIN是123456，跟没设一样。
Passphrase功能： 这个很多人忽略。Trezor和Ledger都支持在PIN之外再加一层passphrase（第25个单词）。输不同的passphrase会生成完全不同的钱包地址。好处是：就算别人拿到你助记词，没passphrase也打不开主钱包。坏处是：passphrase忘了，助记词也救不了你。
我自己的配置：主钱包用passphrase，里面只放10%资产。剩下的放在没有passphrase的钱包里，但助记词板锁在保险柜。
固件更新： 只在官方App里更新。2022年有个假Ledger Live更新包，钓鱼了价值60万美元的币。更新前核对官网哈希值。
热钱包：手机和浏览器插件怎么设
MetaMask用户注意了。默认设置里有个“自动检测代币”功能，会暴露你的持仓。关掉：设置 → 安全与隐私 → 关闭“自动检测代币”。
手机端推荐用Trust Wallet或Rainbow。设置里开启“交易确认”和“恶意合约警告”。别嫌烦，多按一次确认键能救命。
授权管理： 这是最大的坑。你在Uniswap上授权过一次USDT，那个合约就能无限转你的USDT。用revoke.cash查一下，我上个月查自己钱包，发现2021年授权了17个合约。逐个撤销，花了0.02 ETH的gas费，但比被盗强。
多签钱包：超过1万美元就该考虑
单签钱包意味着一个私钥控制所有。多签（比如Gnosis Safe）需要2/3或3/5个私钥才能动资金。
我的配置：3/5多签。5个私钥分别在我笔记本（加密）、老婆手机（她不知道这是啥）、银行保险柜U盘、父母家抽屉里的纸、以及一个可信朋友手里。任何单点被攻破或丢失，资产都安全。
设置步骤：
- 访问app.safe.global
- 连接钱包，创建新Safe
- 添加5个owner地址
- 设置阈值为3
- 部署（主网约0.1 ETH gas）
日常操作习惯
别用同一个地址收所有币。 每个新项目用新地址。MetaMask可以无限创建账户，点一下的事。
测试交易： 大额转账前，先发一笔最小金额（比如10 USDT）到目标地址。确认到账再发剩下的。我见过有人把20万U转到一个错了一个字符的地址，永久丢失。
公共WiFi： 别用。机场、咖啡厅的WiFi，ARP欺骗攻击能把你访问的域名解析到假网站。用手机热点。
浏览器插件： 只装一个钱包插件。装两个（比如MetaMask和Phantom）可能冲突，而且增加攻击面。
如果已经被盗
动作要快：
- 立刻把剩余资产转到新钱包（新助记词，新设备）
- 用revoke.cash撤销所有授权
- 在Etherscan上标记被盗地址
- 如果是大额，找Chainalysis或SlowMist做链上追踪（费用5000美元起）
- 报警。虽然大概率追不回，但立案回执有时能用于税务抵扣
讲真，钱包安全没有100%的方案。但按照上面这些设置，你能挡住99%的脚本小子和钓鱼攻击。剩下的1%，交给多签和保险柜。
别等丢了币才想起来设置。现在就去检查你的授权，把助记词从手机相册里删掉。