钱包踩过的坑：这7个错误可能让你丢光所有币
我见过太多人把币存在交易所，结果交易所跑路；也见过有人把助记词截图存手机，手机被黑后资产清零。钱包这东西，用对了是保险柜，用错了就是定时炸弹。下面这些坑，每一个都有人真金白银踩过。
助记词存手机相册？等于把钥匙插门上
2022年，一个朋友把助记词截图放在iPhone相册里。手机丢了，对方用他的Apple ID重置密码，打开相册，转走了价值8万美元的ETH和NFT。整个过程不到两小时。
助记词的正确存法：
- 手抄在纸上，至少两份，分开放在两个物理安全的地方
- 用金属助记词板（比如Cryptosteel或Billfodl），防火防水
- 绝对不要：截图、存备忘录、发微信/Telegram给自己、存云盘
有人问：那存密码管理器行不行？1Password或Bitwarden确实加密，但你的主密码如果被钓鱼，一切归零。物理隔离才是硬道理。
“钱包升级”钓鱼：点个链接就没了
我收到过一封邮件，标题是“MetaMask紧急安全更新”，发件人显示[email protected]。仔细看，实际地址是[email protected]。点进去是个高仿网站，要求输入助记词“验证钱包”。
真钱包永远不会主动要你的助记词。记住这条就够了。
常见钓鱼套路：
- 假的Discord管理员私信你，说“帮你验证钱包”
- 推特上有人发“领取空投”，链接指向钓鱼站
- 谷歌搜索“MetaMask”排第一的广告可能是假的
防钓操作：永远手动输入官网地址。bookmark常用dApp。装个ScamSniffer这类浏览器插件，它会拦截已知钓鱼域名。
授权无限额度：一次签名，代币被搬空
DeFi玩家几乎都干过这事——在Uniswap授权USDC时，默认选了“无限”。2023年，一个黑客攻破某小dApp前端，所有对该合约授权过无限USDC的用户，代币被批量转走。有人损失了12万美元。
每次授权后，去revoke.cash或Etherscan的Token Approvals页面检查。把不用的授权改成0，或者设一个刚好够用的额度。
具体操作：
- 打开 revoke.cash
- 连接钱包
- 看列表里哪些合约还能动你的代币
- 点“Revoke”，付一笔gas费
建议每月查一次。特别是你玩过土狗项目之后。
热钱包存大额：方便和安全的错配
热钱包（MetaMask、Trust Wallet、Phantom）私钥在联网设备上，天生不适合存大钱。我自己的规则：热钱包不超过总资产的5%，只放够玩DeFi和mint的gas费。
大额资产用硬件钱包。Ledger Nano X或Trezor Model T，200美元左右。别买二手，只从官网下单。2023年有人从亚马逊买Ledger，收到的是被动手脚的设备，附带了预生成的助记词——用了就丢币。
硬件钱包使用要点：
- 助记词只在设备屏幕上显示一次，手抄，不拍照
- 永远不从电脑输入助记词
- 固件更新只通过官方App
多签不是万能药，但单签是裸奔
如果你管理超过10万美元的资产，或者是个小团队金库，单签钱包（一个私钥控制）风险太集中。私钥泄露、设备损坏、人出事，资产就锁死或被盗。
Gnosis Safe多签钱包，设置2/3或3/5签名机制。比如3个签名人，至少2个同意才能转账。一个签名人设备被黑，资产还是安全的。
创建Gnosis Safe的步骤：
- 访问 safe.global
- 连接钱包，创建新Safe
- 添加签名人地址（建议用不同硬件钱包）
- 设阈值，比如2/3
- 部署，付gas费
注意：签名人不要用同一台设备。否则设备被控，多签变单签。
忽略链上确认：以为转了就是到了
有人从交易所提USDT到钱包，选了ERC20网络，但钱包里添加的是BSC网络地址。币丢了。或者gas费设太低，交易卡了6小时，以为失败又转一次，结果两次都成功，多付一笔。
转账前检查清单：
- 接收地址网络和发送网络一致（ERC20对ERC20，BEP20对BEP20）
- 先转一笔小额测试，比如10 USDT
- 在区块链浏览器查交易状态，不要只看钱包App显示
- gas费参考 etherscan.io/gastracker，别设1 gwei然后干等
钱包备份只有一个点：单点故障
你手抄了助记词，放在家里保险柜。家里着火呢？你只抄了一份，放在办公室抽屉。抽屉被撬呢？
备份策略：至少两个物理位置，距离超过10公里。比如家里一个，银行保险箱一个。用金属板防火，用防水袋防潮。告诉一个信任的家人怎么找到它——但别告诉他这是什么。
有人用 Shamir 备份方案，把助记词拆成3份，任意2份能恢复。Trezor支持这个。但复杂度高，搞错了自己都恢复不了。普通人老老实实两份手抄+金属板，够了。
最后说个真事
2021年，有个用户把助记词写在纸上，拍照发给了自己的邮箱“备份”。邮箱密码是123456。黑客扫到后，转走了他刚买入的15个BTC。当时价值约90万美元。
钱包安全没有捷径。每个操作前问自己：如果这一步错了，最坏结果是什么？能承受就做，不能就换方法。