钱包安全设置：我踩过的坑和真正有用的操作 - Trust Wallet教程指南

链上待久了，见过的盗币方式比大多数人听过的都多。说几个真实数字：2023年全年因私钥泄露、授权钓鱼、助记词被盗造成的损失超过18亿美元。这里面绝大多数不是黑客多厉害，是用户自己把门敞开了。

我把自己钱包的安全设置拆开讲，从最基础到进阶，你对照着检查就行。

助记词：别拍照，别存云盘

这是老生常谈，但每天还是有人栽在这上面。

我见过最离谱的案例：一个人把助记词截图存在iPhone相册里，然后手机丢了，Apple ID密码还很简单，被人撞库登录iCloud，相册同步过去，12个单词直接到手。整个过程不到48小时，钱包清空。

正确做法就一条：手写在纸上，写两份，分两个物理位置存放。 别用金属助记词板也行，但纸足够。关键是物理隔离，任何联网设备都不碰。

如果你非要用电子方式备份，至少用像Cryptosteel这种金属板，防火防水。但讲真，手写纸+保险箱比什么都靠谱。

手机上的热钱包，比如MetaMask、Trust Wallet，一定要开生物识别。指纹或Face ID都行。

有人觉得每次打开钱包要按指纹很烦。我理解，但你想一下：手机丢了或被偷了，小偷拿到你手机，如果钱包没锁，他打开就能转走你所有资产。有生物识别，他至少需要你的指纹或脸。

密码方面，别用你其他账号用过的密码。钱包密码泄露了，配合助记词或私钥泄露，资产直接归零。

我敢说80%的人从没检查过自己的代币授权。

你在Uniswap上换个币，在OpenSea上挂个单，在某个不知名DApp上点个“确认”，背后可能都签了一个无限授权。意思是那个合约可以随时转走你对应代币的全部余额。

2022年有个案例：一个用户两年前在某个小DApp上授权了USDC的无限额度，那个DApp后来被黑，黑客利用残留授权把用户钱包里的12万USDC直接转走。用户完全不知道发生了什么。

操作步骤：

建议每个月检查一次。花你5分钟，可能救你几万美元。

硬件钱包确实安全，但用错了照样出事。

我见过有人从淘宝买二手Ledger，收到后直接用。结果设备被人提前初始化过，助记词在卖家手里。用户存了3个BTC进去，一周后归零。

正确流程：

另外，Ledger Live软件要从官网下载。假网站做得跟真的一模一样，域名差一个字母，你下载的就是个窃取助记词的恶意软件。

如果你持有超过10万美元的加密资产，考虑多签钱包，比如Safe（原Gnosis Safe）。

多签的意思是：一笔交易需要多个私钥中的若干个签名才能执行。比如3个签名者，需要2个同意。这样即使一个私钥泄露，资产也丢不了。

我认识一个DAO的财务负责人，他们金库用Safe多签，5个签名者需要3个确认。有一次一个签名者的电脑被入侵，私钥泄露，但黑客只有1个签名，动不了资金。这就是多签的价值。

设置多签的步骤稍微复杂，但Safe的界面已经做得很友好了。创建钱包，添加签名者地址，设置阈值，部署。Gas费大概几十美元，对大额资产来说不值一提。

你搜“Uniswap”，第一个结果可能是广告，点进去是个钓鱼站。你连接钱包，签名，资产没了。

几个习惯：

有个工具叫 Wallet Guard，浏览器插件，能实时检测钓鱼网站和恶意签名请求。我装了之后至少拦了3次可疑请求。

如果你的交易所账号或某些钱包用手机号做2FA，SIM卡交换攻击能直接绕过。攻击者通过社工运营商，把你的号码转移到他们控制的SIM卡上，然后接收你的短信验证码。

对策：

我自己的交易所账号全部用YubiKey+Google Authenticator双重保护，短信验证码早就关了。