钱包安全设置：我踩过的坑和你的防坑清单
上周一个朋友把助记词截图存手机相册，手机丢了，钱包里2.3个ETH在20分钟内被转走。这事不是第一次听说了，但每次听到还是觉得肉疼。
我玩钱包五年，从最早的MetaMask到现在的硬件钱包，踩过雷也帮人追过币。今天讲的东西，都是能直接上手操作的。
助记词：别用你自以为安全的方式存
最常见的错误操作：截图存手机、存微信收藏、存备忘录、存网盘。这四个地方，前三个等于把私钥放在别人兜里。手机相册会被各种App读取，微信收藏同步到云端，备忘录可能自动备份到iCloud。
我现在的做法：用金属助记词板刻下来，两块，分两个地方放。一块在家里保险柜，一块在银行保管箱。成本大概200块人民币，比丢币便宜太多。
如果你觉得金属板太麻烦，退而求其次：手写在纸上，用防水袋封好，藏在一个只有你知道的地方。别告诉任何人，包括你老婆。离婚分财产的时候，这东西算不算共同财产律师都说不清。
有个细节：手写的时候别按顺序写。打乱顺序，自己记住还原逻辑。比如按“3-1-4-2”的排列写，或者倒着写。这样即使纸被人翻到，也没法直接用。
钱包密码和生物识别：别偷懒
MetaMask这类热钱包，设置密码的时候很多人直接设个“123456”或者生日。这等于没设。密码至少12位，大小写加数字加符号，别用你在其他网站用过的密码。
生物识别（指纹/面容）确实方便，但有个坑：法律在某些司法管辖区可以强制你用指纹解锁，但不能强制你说出密码。所以大额资产别只依赖生物识别。
我自己的配置：热钱包放小额，日常交互用，密码+2FA。大额放硬件钱包，每次转账都要物理按键确认。
授权管理：最容易被忽略的漏洞
这事我亲身经历过。2022年我在一个不知名DEX授权了一个合约，后来那个项目跑路，我的钱包被持续盗刷了三个月，总共损失约0.8个ETH。问题就出在ERC-20授权上。
你每次在Uniswap、OpenSea或者任何DeFi协议上交易，都会给合约一个授权额度。很多合约默认授权是“无限大”。这意味着即使你只交易一次，那个合约以后可以随时转走你钱包里所有的该种代币。
操作步骤：
- 打开revoke.cash或者Etherscan的Token Approval页面
- 连接钱包
- 查看所有授权列表
- 把不用的、不信任的、额度无限大的授权全部取消
我现在的习惯：每月1号检查一次授权。花5分钟，省大钱。
硬件钱包：不是买了就安全
很多人买了Ledger或Trezor，觉得万事大吉。但硬件钱包的安全前提是：助记词永远不接触联网设备。
我见过最离谱的操作：有人把Ledger的助记词输入到Ledger Live里“恢复钱包”。Ledger Live是软件，是联网的。助记词一进去，硬件钱包就白买了。
正确流程：
- 助记词只在硬件钱包设备屏幕上显示一次
- 手抄到纸上或金属板上
- 永远不要拍照、不要输入到任何电脑或手机
- 恢复钱包时，用硬件钱包设备本身的按键输入助记词
另外，买硬件钱包只从官网买。亚马逊、淘宝上的可能有被预置助记词的翻新货。我朋友贪便宜买过一个，拆开发现助记词卡已经填好了，差点中招。
多签钱包：大额资产的标配
如果你持有超过1万美元的加密资产，考虑多签钱包。Gnosis Safe是以太坊上最成熟的多签方案。
原理很简单：需要多个私钥中的几个才能完成交易。比如2/3多签，三个设备各持一个私钥，任何交易需要至少两个设备确认。
这样即使一个设备被黑，资产也丢不了。我自己的配置：一个Ledger，一个Trezor，一个手机热钱包。三个设备分三个地方放。
缺点是操作麻烦，每次转账要两个设备确认。但大额资产，麻烦点值得。
网络钓鱼：最防不胜防的
说个真实案例。2023年有人收到一封邮件，发件人显示“MetaMask官方”，说钱包需要升级，点链接输入助记词。邮件做得跟真的一样，域名是metamask-upgrade.com。这人输入了助记词，12秒后钱包被清空。
防钓鱼的核心原则：永远不点邮件里的链接。要访问钱包或交易平台，手动输入网址，或者用书签。
另外，Google搜索结果前几条可能是广告，是假的。我习惯直接输入URL，或者用官方App。
最后说个反直觉的
不要把所有资产放在一个钱包里。我分三个钱包：一个热钱包放日常交互的几百刀，一个硬件钱包放中期持仓，一个多签钱包放长期存储。这样即使一个出问题，不至于全军覆没。
还有，定期检查你的钱包地址在Etherscan上的交易记录。有时候被盗刷是小额的，你不注意就忽略了。我设置了一个Google Alert，只要我的地址出现在任何网页上就通知我。虽然大部分是噪音，但总比错过异常交易强。
钱包安全没有一劳永逸，只有持续 vigilance。你多花10分钟设置，可能省下的是全部身家。