2024年超12亿美元被盗，你的钱包安全设置真的做对了吗？

Chainalysis 今年三月的报告里有个数字挺扎眼：2023 年全年，攻击者从加密钱包里薅走了大约 17 亿美元，比 2022 年还多了两成。更离谱的是，其中将近 70% 的损失集中在 20 起事件里。换句话说，大多数人不是被随机撞上的，而是踩了那几个反复出现的坑。

我翻了一圈 REKT 排行榜和慢雾的年度复盘，发现被盗的 wallet 基本逃不出三类：私钥明文存电脑、助记词截图放相册、授权没清被钓鱼。问题不在技术多高深，是设置的时候图省事。

私钥和助记词：别再用截图和云盘了

先说个真实案例。去年 8 月，一个老哥把 MetaMask 助记词存进 iCloud 备忘录，开了双重认证。结果 Apple ID 被钓鱼，攻击者同步了备忘录，12 小时内转走了他 47 个 ETH。当时价值约 8 万美元。

这里有个常见误区：开了 2FA 就万事大吉。实际情况是，云服务商同步给你的所有设备，包括攻击者登录的那台。你的 2FA 只保护登录环节，不保护已同步的内容。

我的做法是：助记词手写在两张纸上，一张放家里保险柜，一张放银行保管箱。不拍照、不存云盘、不发微信。有人觉得夸张，但 47 个 ETH 换两张纸，这买卖不亏。

如果你非要用数字方式备份，至少用 VeraCrypt 创建一个加密容器，密码单独记。但讲真，手写还是最稳的。

硬件钱包：别让它变成“热钱包的傀儡”

Ledger 和 Trezor 我都在用。但很多人买了硬件钱包，转头就在电脑上装了配套软件，私钥还是暴露在联网环境里。

操作上有个关键点：硬件钱包的助记词只在设备屏幕上显示一次，而且必须手动抄写。如果你在电脑屏幕上看到了助记词，那说明你买的是假货，或者操作错了。

还有个坑：Ledger 去年 5 月推出的 Recover 功能，允许把助记词分片加密后交给第三方托管。社区骂声一片。我的建议是，除非你完全理解 Shamir 备份的原理，否则别开。硬件钱包的核心价值就是私钥永不触网，别自己把门打开。

授权清理：被忽略的重灾区

DeFi 用户最容易中招。你在 Uniswap 上授权过一次 USDC，那个授权额度可能是无限的。如果 Uniswap 被攻破，或者你授权的是个恶意合约，你的 USDC 随时可能被转走。

revoke.cash 这个工具我每月用一次。连上钱包，它会列出所有授权过的合约。看到不认识的，直接撤销。Gas 费大概 3 到 5 美元，比被盗划算多了。

数据上，慢雾统计 2023 年钓鱼攻击造成的损失里，超过 60% 是通过未撤销的授权完成的。攻击者不需要你的私钥，只需要你之前签过的那份“无限授权”。

多签钱包：不是巨鲸专属

Safe（原 Gnosis Safe）多签钱包现在门槛低了很多。你可以设置 2/3 多签：三个签名人，两个确认才能转账。签名人可以是你自己的多个钱包，也可以是信任的朋友。

我自己的配置是：一个 Ledger、一个 Trezor、一个手机热钱包。转大额资产时，需要至少两个设备确认。这样即使手机丢了，资产也动不了。

成本方面，在以太坊主网部署一个 Safe 大概 50 到 80 美元 Gas 费。如果嫌贵，Polygon 上部署只要几美分。安全性一样，只是链不同。

日常习惯：比工具更重要

我见过太多人买了最贵的硬件钱包，然后助记词拍照存手机。工具是辅助，习惯才是根本。

几个我坚持了三年的习惯：

• 每笔大额转账前，先转 10 美元测试。确认到账再转剩下的。
• 钱包地址核对后三位和前三位的组合。恶意软件会替换剪贴板地址，但通常只改中间几位。
• 不用钱包时断开 WalletConnect 连接。很多钓鱼网站就是靠保持连接来发恶意请求。
• 浏览器插件钱包只装一个。多个钱包插件会互相干扰，也增加攻击面。

说到这，你可能会问：这么麻烦，还怎么玩 DeFi？老实说，刚开始确实烦。但习惯之后，每次操作多花 30 秒，换来的是一年 365 天的安心。2023 年那些被盗的人，现在应该宁愿当初多花这 30 秒。