钱包踩坑实录：这8个错误，每个都有人亏过真金白银
我见过太多人因为钱包操作失误把币弄丢。有些错误一旦犯了，神仙也救不回来。下面这些坑，每一个都有真实案例。
把助记词截图存在手机里
这是最致命的习惯。手机相册会自动同步到iCloud或Google Photos。2022年有个案例，某用户把助记词截图存相册，iCloud账号被盗，钱包里12个ETH被清空。
正确做法：用纸抄下来，抄两份，分开存放。别拍照，别存备忘录，别发微信文件传输助手。钢制助记词板大概100多块钱，防火防水，比纸靠谱。
助记词和私钥分不清
助记词是12或24个单词，能恢复整个钱包的所有地址。私钥是一串64位十六进制字符，只对应一个地址。
有人以为导出私钥备份就够了，换手机时发现只恢复了那一个地址，其他链上的资产全看不见了。助记词才是根，私钥是枝。
下载假钱包App
App Store和Google Play里都有假钱包。2023年出现过一个假的MetaMask安卓应用，界面几乎一模一样，下载量超过5000次。用户导入助记词后，资产直接被转走。
认准官网链接。MetaMask官网是metamask.io，Trust Wallet是trustwallet.com。别在搜索框里搜“XX钱包下载”，搜索结果前几条经常是广告钓鱼站。
从不验证收款地址
转账时复制粘贴地址，剪贴板被恶意软件替换。这种事每个月都在发生。有个朋友转USDT，复制了对方发的地址，粘贴后前4位和后4位看起来一样，中间被换了，3000U直接进了黑客口袋。
操作习惯：复制地址后，至少核对前6位和后6位。大额转账先转10U测试。以太坊地址是42位，TRON地址是34位，长度不对直接停手。
混淆主网和测试网
有人在测试网上领了测试币，以为是真的。更常见的是在钱包里添加了自定义网络，参数填错，资产显示为零，吓得以为被盗了。
添加自定义RPC时，链ID、符号、浏览器URL都要从官方文档复制。BSC主网链ID是56，Polygon是137，以太坊是1。填错一个数字，资产就不显示。
授权无限额度不取消
DeFi交互时，很多DApp默认申请无限授权。你以为是授权这次交易，实际上给了对方永久转走该代币的权限。
有个用户2021年在某个现在已跑路的DApp上授权了USDC无限额度，2023年该合约被利用，钱包里的USDC被转空。
定期检查授权：用revoke.cash或etherscan的Token Approvals工具。不用的授权及时取消，每次取消大概花几美元Gas费，比被盗强。
忽略小额Gas费预留
想把钱包里某个代币全部转走，结果发现没有ETH付Gas。这种情况在以太坊上特别常见。
钱包里永远留一点原生代币。以太坊主网留0.01 ETH，BSC留0.005 BNB，Polygon留1 MATIC。别把所有ETH都换成USDT，到时候一笔交易都发不出去。
用同一个钱包地址收所有币
隐私问题先不说，安全上也有隐患。一个地址交互过的合约越多，暴露的攻击面越大。万一某个合约有漏洞，你的地址就在黑客的猎物名单上。
至少分三个钱包：冷钱包存大额，交互钱包做DeFi，小额热钱包日常用。冷钱包永远不联网，助记词不碰任何电子设备。
钱包被盗后的黄金10分钟
发现被盗，立刻做三件事：
- 断开网络，别再操作该钱包
- 用助记词在安全设备上恢复钱包，把剩余资产转到新钱包
- 如果被盗的是授权问题，立刻去revoke.cash取消所有授权
但说实话，大部分被盗是助记词泄露，这时候做什么都晚了。黑客转币的速度比你快。
硬件钱包不是万能的
Ledger或Trezor能防远程盗币，但防不了你自己签恶意交易。2023年有个用户用Ledger签名了一个“增加授权”的交易，硬件钱包屏幕上显示的是一串看不懂的合约数据，他直接确认了，资产被转走。
硬件钱包签名前，一定要在设备屏幕上核对接收地址和金额。看不懂的合约交互，先小额测试。
钱包安全没有捷径。助记词离线保存，地址反复核对，授权定期清理，大额资产冷存储。这四条做到，能避开90%的坑。剩下的10%，靠你自己别手滑。