钱包用了三年，这7个坑我踩过至少4个
我钱包里现在有12条链的资产，助记词抄过4份，丢过1个私钥，被钓鱼网站骗过0.3个ETH。说多了都是学费。下面这些坑，你大概率也会撞上。
助记词抄了不等于安全
最常见的操作：手抄12个单词，塞进抽屉，觉得万无一失。
实际情况是，纸质助记词怕水、怕火、怕虫蛀。我见过一个哥们把助记词写在便利贴上，贴在显示器边框，两年后胶失效，纸掉地上被扫地机器人吸走了。找回花了3天，好在没丢币。
更隐蔽的问题是抄错。BIP39词库里有些词长得极像：word 和 world，build 和 built。手抄时少写一个字母，备份就废了。等你真需要恢复钱包那天才发现，已经晚了。
操作建议：抄完立刻做一次恢复测试。新建一个空钱包，用你抄的助记词导入，看地址是否一致。这一步花你5分钟，能省掉未来5小时的绝望。确认无误后，至少做两份物理备份，分开存放。别拍照存手机相册，iCloud同步会把你的助记词送到云端。
授权不取消，等于把钥匙给别人
你在Uniswap上换个币，在OpenSea上挂个单，每操作一次，钱包都会弹一个“Approve”请求。很多人看都不看就点确认。
说白了，授权就是告诉合约：“你可以从我钱包里转走这个币，上限是XX。” 大部分人授权的是“无限”（unlimited）。2023年有个链上数据分析，以太坊上超过60%的ERC-20授权是无限额度。
问题在哪？合约如果有漏洞，或者项目方跑路，你授权的那些币随时能被划走。2022年Wintermute被盗1.6亿美元，部分原因就是授权管理出了岔子。
每隔一两个月，花两分钟去 revoke.cash 查一下。连接钱包，它会列出你所有活跃授权，点“Revoke”就能取消。我上个月查出7个授权，其中3个是两年前交互过的项目，早忘了。
Gas费设太低，交易卡到怀疑人生
以太坊拥堵的时候，你设了20 gwei，结果交易pending了6个小时。想加速？再付一笔gas。想取消？也得付gas。
有个新手朋友， mint一个NFT，gas设了15 gwei，卡了整整两天。最后他点了“取消”，又花了0.008 ETH。那笔mint本身才0.05 ETH。
操作上，MetaMask里有个“Advanced Gas Fee”选项。网络不堵的时候，用“Low”没问题。但如果你在抢mint或者赶着套利，直接看 Etherscan Gas Tracker，选“High”那档。多付几毛钱，比卡住强。
还有个小技巧：卡住的交易可以用“nonce覆盖”来取消。在MetaMask设置里打开“Customize transaction nonce”，发一笔0 ETH转账给自己，nonce填那个卡住交易的nonce，gas给高一点。新交易确认后，旧交易自动作废。
多签钱包不是万能的
Safe（原Gnosis Safe）多签钱包很流行，但很多人搞错了使用场景。
多签适合团队金库、DAO财库，不适合个人日常使用。我见过有人给自己搞了个2/3多签，结果手机丢了、硬件钱包坏了，第三把钥匙在老家抽屉里。资产锁了两个月，等回国才解开。
个人用户，尤其是持仓低于5万美元的，单签硬件钱包足够。Ledger Nano S Plus大概79美元，Trezor Model One大概59美元。比多签省事得多。
真要用多签，记住一条：3把钥匙别放在同一个物理位置。我见过一个团队，3个签名人都在同一个办公室，办公室进水，3台电脑全废。
钱包地址复制粘贴，中间被替换
这个骗局叫“地址投毒”（Address Poisoning）。你从交易记录里复制了一个地址，粘贴到转账框，看起来前几位后几位都对。但中间几位被恶意软件替换了。
2023年Chainalysis的报告提到，地址投毒攻击造成的损失超过6000万美元。有个受害者转USDT，复制了一个“看起来一样”的地址，实际是攻击者生成的相似地址，5000美元直接进了骗子口袋。
怎么防：转账前，把地址从头到尾核对一遍。或者更省事，用钱包的地址簿功能，给常用地址起个名字。MetaMask的地址簿在“Settings > Contacts”里，存一次，以后点选就行。
大额转账前，先发一笔最小金额测试。10美元的测试费，比5000美元的教训便宜。
硬件钱包不是绝对安全
买了Ledger就万事大吉？不一定。
2020年Ledger泄露了27万用户的邮箱和地址信息，后来有人收到钓鱼邮件，伪装成Ledger官方，说“固件升级”，诱导用户在一个假网站上输入助记词。有人中招了。
硬件钱包的安全边界在于：私钥永远不离开设备。但如果你在假网站上手动输入了助记词，那硬件钱包就是个摆设。
记住一条死规矩：助记词只在你初始化钱包时输入一次，之后永远不需要再输入。任何网站、任何客服、任何“官方邮件”让你输助记词，100%是骗局。
钱包余额显示为零，不一定真没了
有时候打开钱包，资产显示0。别慌，大概率是网络问题。
常见原因：RPC节点挂了、链没切换对、代币合约地址变了。我遇到过一次，BSC链上某个代币余额不显示，换了个RPC节点就出来了。
操作上，MetaMask里可以手动添加RPC。去 chainlist.org 搜你的网络，点“Add to MetaMask”，换个备用节点试试。如果还不行，把代币合约地址复制到 BscScan 或 Etherscan 上查一下，链上余额才是最终真相。
钱包这东西，说白了就是一把钥匙。钥匙本身不复杂，复杂的是你拿它开什么门、怎么保管、什么时候不该掏出来。上面这些坑，你踩过一个就算回本了。