钱包安全设置里最容易踩的坑，我帮你整理了一份避雷清单 - Trust Wallet教程指南

你的钱包被偷，大概率不是因为私钥被暴力破解，而是你自己把钥匙递了出去。

我见过太多人栽在同一个地方。今天把这些坑一个个挖出来，你看看自己踩了几个。

助记词截图存手机，等于把家门钥匙插在门上

这是最离谱但最常见的操作。

有人觉得助记词抄在纸上会丢，拍照存手机相册最保险。还有人存微信收藏、存备忘录、发给自己小号。我甚至见过有人把助记词设成手机锁屏壁纸。

你的手机连上网的那一刻，这些数据就不再只属于你。相册会被上传到云端，备忘录会同步到服务器，微信聊天记录存在腾讯的数据库里。一旦账号被盗或者手机中木马，助记词就是别人的了。

2022年，一个用户把助记词存在手机备忘录里，手机被偷后对方解锁了设备，直接转走了价值40万美元的资产。因为他的备忘录没有单独加密，手机密码也设的是“123456”。

正确做法：用金属助记词板刻录，或者手写在纸上，存放在至少两个物理位置。不要拍照，不要截图，不要存任何联网设备。

我认识一个人，2020年创建钱包时抄了助记词，一直没管。2023年手机摔坏需要恢复钱包，输进去发现第7个词抄错了——他把“wolf”抄成了“wulf”。钱包恢复不了，里面3个ETH至今取不出来。

助记词是12或24个英文单词，从2048个词的固定词库里选。一个字母之差，钱包地址就完全不同。

创建完钱包后，立刻做一次恢复测试。把助记词输入到一个临时钱包里，确认能恢复出相同的地址。这一步花你5分钟，能避免未来几万美元的损失。

DeFi玩家最容易忽略的问题。

你在Uniswap上交易一次，弹窗问你“是否授权该代币”。很多人看都不看就点确认。这个授权默认是“无限额度”——意味着该合约可以随时转走你钱包里所有这个代币，不需要你再确认。

2023年6月，一个用户授权了一个恶意合约，对方在他不知情的情况下转走了他钱包里所有的USDC和USDT，总计12万美元。他只是在某个不知名DEX上尝试了一次交易。

每次交易后，去revoke.cash或者Etherscan的Token Approval页面检查一下。把不需要的授权撤销掉。不要嫌麻烦，这个操作花30秒。

另外，授权时手动把额度改成你这次交易需要的数量，而不是选“无限”。

MetaMask这类浏览器钱包，密码是用来加密本地私钥的。密码越弱，暴力破解越快。

有人设密码用“password123”，有人用生日，有人用“abc123456”。如果你的电脑被人接触过，或者浏览器数据泄露，这些密码撑不过几秒钟的暴力破解。

用至少12位混合密码，包含大小写字母、数字和符号。别用你在其他任何网站用过的密码。这个密码不需要记住——写在纸上和助记词放一起就行，但不要存在电脑里。

钓鱼网站做得越来越像真的。你点进去，界面和Uniswap一模一样，但网址是“unlswap.org”而不是“uniswap.org”。

一个读者跟我说，他点了一个推特上的空投链接，连接钱包后签名了一笔“看起来像领取”的交易。实际上那是一个setApprovalForAll的签名，授权对方转走他所有的NFT。等他发现时，钱包里12个Azuki已经没了，损失超过15万美元。

每次连接钱包前，检查三件事：网址拼写、SSL证书（浏览器地址栏那个锁图标）、合约地址是否和官方公布的一致。花10秒确认，比事后追悔强一万倍。

手机钱包、浏览器插件钱包都是热钱包——私钥存在于联网设备上。热钱包适合放日常交互用的零花钱，不适合当金库。

我自己的做法：热钱包里从不超过500美元的资产。大额资产全部放在硬件钱包里，而且硬件钱包的助记词从不触网。

硬件钱包也不是万能的。有人买二手Ledger，收到后发现包装有被拆过的痕迹，但没在意。结果那个设备被预装了恶意固件，助记词在初始化时就被传给了攻击者。买硬件钱包只从官网买，收到后检查包装密封性。初始化时设备屏幕上显示的助记词，和你纸上抄的必须完全一致。

如果你管理超过10万美元的资产，用多签钱包。Gnosis Safe这类多签方案要求M-of-N个签名才能执行交易。即使一把私钥泄露，攻击者也动不了资金。

单签钱包意味着一个私钥对应全部资产。私钥泄露=资产归零。没有中间状态。

你复制了一个收款地址，粘贴到转账框里。但粘贴出来的地址和你复制的完全不一样——这是恶意软件替换了剪贴板内容。

2023年出现过一个案例，一个用户复制了正确的地址，但恶意软件把剪贴板里的地址换成了攻击者的。他转账前没核对，2个BTC直接打给了骗子。

转账前，对照地址的前6位和后4位。这是最低成本的验证方式。大额转账先发一笔小额测试，确认到账后再发剩下的。

你的资产安全不取决于你懂多少技术，而取决于你有没有把这些基本功做到位。上面这些坑，踩一个就可能让你归零。