从被盗 0.5 ETH 到安全撸空投：我的钱包踩坑实录 - Trust Wallet教程指南

2023 年 8 月，我亲眼看着一个哥们在 Discord 里哀嚎。他的小狐狸钱包被掏空了，0.5 ETH 加两个无聊猿的仿盘 NFT，前后不到 3 分钟。私钥没泄露，助记词也没给人，就是点了一个推特上别人发的“宝藏网站”，授权了一下。

这事儿之后，我把钱包安全从头到尾捋了一遍。今天不扯虚的，直接给你看我是怎么做的。

热钱包：别把鸡蛋放一个篮子里

我见过太多人，一个钱包走天下。撸空投用它，存大额资产也用它，连冲土狗都点同一个“确认”。这不叫方便，叫裸奔。

我的做法是分三层：

第一层：主力冷钱包
Ledger 或者 Trezor，买回来第一件事是核对包装有没有被拆过。我买过一台二手 Ledger，卖家说“只拆开看过”，结果初始化时发现里面已经有一个 24 位助记词——直接退货。记住，新硬件钱包第一次开机必须显示“设置新钱包”的选项，没有这个选项就是被人动过。

这个钱包只做两件事：存大额资产、和智能合约交互时当“保险柜”。平时不联网，不插电脑，除非要动大钱。

第二层：热钱包（日常交互）
小狐狸或者 Rabby，专门用来撸空投、mint NFT、连各种 DApp。里面只放够用的 Gas 费，比如 0.1 ETH 到 0.3 ETH。丢了不心疼，中了是运气。

这里有个关键操作：每次交互完，去 revoke.cash 检查授权。我养成了习惯，每周日晚上花 5 分钟，把不用的授权全取消。别小看这个，我那哥们就是授权了一个恶意合约，对方直接转走了他钱包里所有 ETH。

第三层：测试钱包
专门用来点那些来路不明的链接。推特上有人发“免费领 XX 代币”，你好奇想看看，就用这个钱包。里面放 0.01 ETH，连了之后如果发现不对劲，直接弃用。我去年用这个方法试了 7 个可疑网站，其中 3 个是钓鱼。

讲真，我见过最离谱的操作是把助记词截图存手机相册，还开了 iCloud 同步。这等于把家门钥匙复制一把挂在小区门口。

我的助记词处理流程：

有人问，那要是家里着火了呢？我的方案是再买一个金属助记词板，用钢印打上去。淘宝上 100 多块，防火防水。别省这个钱，你钱包里的资产可能值几十个 100 块。

还有一个坑：别用助记词恢复钱包来“测试” 。我见过有人为了确认助记词对不对，在手机上恢复了一次，结果手机被恶意软件监控，助记词直接泄露。要测试，用硬件钱包的恢复功能，或者找个完全离线的设备。

今年 3 月，我收到一封邮件，说我的 Uniswap 账户有“未领取的 UNI 空投”，点进去是一个和 Uniswap 一模一样的页面。网址是 uniswap-claim[.]org，多了个 claim。

我差点就点了“连接钱包”。但有个细节救了我：页面加载后，我的 Rabby 钱包弹出了风险提示，说这个网站 3 天前才注册。我立马关掉，去官方推特确认，根本没有这回事。

这里有个经验：装一个带风险提示的钱包插件。Rabby 会自动检测合约风险，小狐狸也有类似功能但没 Rabby 激进。别嫌烦，弹提示的时候停下来想 10 秒。

另外，永远从官方推特或者官方文档进链接。别点谷歌搜索结果，别点邮件里的链接，别点 Discord 私信。我现在的习惯是，把常用的 DApp 官网存书签，每次从书签进。

给你一个我每天在用的检查清单：

说到这，你可能会问：这么麻烦，值得吗？

我那个丢了 0.5 ETH 的哥们，当时 ETH 价格 1800 刀，900 美元。他后来算了一笔账，如果当时花 100 刀买个硬件钱包，花 10 分钟设置好授权提醒，这 900 刀就不会丢。而且他后来撸空投，因为钱包被标记过恶意合约交互，好几个项目直接把他筛掉了。损失远不止 900 刀。

很多人觉得钱包越去中心化越好，助记词自己保管最安全。这话对，但有个前提：你得真的会保管。

我见过有人把助记词分成三份，分别给三个朋友。结果其中一个朋友手机被黑，助记词泄露，另外两份也被社工骗走。去中心化的意思是“你自己负责”，不是“随便分散”。

我的建议是：如果你管不住自己的手，就找个靠谱的托管方案。比如多签钱包，Gnosis Safe，2/3 签名。一个人拿两个密钥，另一个放银行保险箱。这样即使一个泄露，资产也动不了。

钱包这事儿，说到底就一句话：你的密钥，你的币。但前提是，你得真的把密钥当回事。