从被偷 12 个 ETH 到零事故：我踩过的钱包坑和总结的实操指南

· 币种支持

2022 年 3 月，我认识的一个老哥在 Opensea 点了一个“空投领取”链接，钱包里 12 个 ETH 和 3 个 BAYC 在 40 秒内被清空。他用的不是小狐狸，是一个当时很火的手机钱包。私钥没泄露，助记词也没丢，就是点了个签名。

同一年，另一个朋友在硬件钱包上折腾了 20 分钟才转出一笔 USDC，Gas 设错了三次，最后多花了 80 刀。但他从 2017 年到现在，钱包没丢过一分钱。

这两个案例放一起，我想说的其实就一件事：钱包安全不是“用哪个”的问题，是“怎么用”的问题。

先搞清楚你手里拿的是什么

钱包分两种，但很多人搞混了。

一种是托管钱包。币安、Coinbase 里的钱包就是。私钥不在你手上，平台替你管。方便，但 2022 年 FTX 暴雷的时候，几十万人的钱包直接变成只读模式。你存进去的币，法律上不属于你，属于平台欠你的债。

另一种是自托管钱包。MetaMask、Rabby、Ledger、Trezor 都算。私钥在你手里，助记词在你手里。平台倒不倒闭跟你没关系，但你点错一个链接，币就没了。

我现在的配置是：热钱包放零花钱，硬件钱包放主要资产，交易所只留交易仓位。 比例大概是 5% / 90% / 5%。

助记词这件事，90% 的人存错了

我见过最离谱的，是把助记词截图存在微信收藏里，还开了云同步。

助记词是 12 或 24 个英文单词，它是你钱包的根。谁拿到这串词，谁就能在任何一个钱包里恢复你的全部资产。没有密码，没有短信验证，没有客服可以帮你冻结。

正确的做法就三条：

  1. 手写在纸上，不要拍照，不要存备忘录，不要用输入法打出来。
  2. 买一块金属助记词板（淘宝几十块到几百块都有），把词刻上去。 防火防水防熊孩子。
  3. 至少存两份，放在两个不同的物理位置。 比如一份在家里的保险柜，一份在父母家或银行保险箱。

我自己的做法是：手写一份 + 金属板一份。手写的放在老家，金属板放在自己住处。两边都不写“助记词”三个字，写的是“备份短语”。

授权和签名，才是现在被盗的主因

以前黑客偷私钥，现在他们让你自己签。

你去一个 DeFi 网站，点“Connect Wallet”，然后弹出一个签名请求。很多人看都不看就点确认。那个签名可能不是登录，而是授权对方转走你的 USDC。

2023 年 5 月，一个叫 Inferno Drainer 的钓鱼工具包，半年内偷了超过 8000 万美元。手法就是伪造签名页面。

怎么防？

  • 每次签名前，看钱包弹窗里的具体内容。 MetaMask 会显示“你正在授权 XXX 合约使用你的 USDC”，如果金额是“无限”，就要警惕。
  • 用 Revoke.cash 定期检查授权。 我每个月 1 号会花 5 分钟，把不用的授权全部取消。链上授权是永久的，你不取消，对方随时可以转走。
  • 硬件钱包的屏幕会显示真实签名内容。 这是它最大的价值。电脑被黑了，恶意软件改了地址，硬件钱包屏幕上显示的才是真的。

转账这一步，我踩过三个坑

第一个坑：复制地址后没核对。 2021 年我转 2000 USDT 给一个朋友，复制地址后没看前后几位，结果中了 clipboard 病毒，地址被替换成黑客的。转出去 3 分钟才发现，已经来不及了。现在我的习惯是：复制地址后，至少核对前 6 位和后 6 位。

第二个坑：Gas 设太低。 以太坊拥堵的时候，我设了 15 Gwei，交易卡了 6 个小时。后来学会了看 Etherscan 的 Gas Tracker，或者直接用钱包的“市场价”选项。急着转就用“快速”，不急就用“慢速”。

第三个坑：转错链。 有人把 USDC 从以太坊转到 BSC 地址，币直接没了。每条链的地址格式可能一样，但链不互通。转账前确认三件事：接收地址、链名称、代币合约地址。

硬件钱包不是万能药

我 2020 年买第一个 Ledger 的时候，以为有了它就万事大吉。后来发现，硬件钱包只是把私钥隔离了，但你如果在一个恶意网站上签名，它照样会签。

硬件钱包的正确用法：

  • 助记词只在初始化时手写一次，永远不输入到任何电子设备。 包括 Ledger Live 让你“恢复钱包”的时候。
  • 每一笔交易，在硬件钱包屏幕上核对地址和金额。 不要只看电脑屏幕。
  • 买硬件钱包只从官网买。 亚马逊、淘宝上的第三方卖家，可能提前拆封记录了助记词。Ledger 官方曾经发过警告，有用户从第三方买到的设备里附带了假的助记词卡。

我现在的流程是：热钱包用 Rabby（它的风险扫描比 MetaMask 激进），硬件钱包用 Ledger Nano X，大额转账先转 10 USDC 测试，确认到账再转剩下的。

一个真实的对比

左边是我那个被偷 12 ETH 的朋友：手机钱包 + 点不明链接 + 无限授权 + 没有硬件钱包。右边是我另一个朋友：Rabby + Ledger + 每月撤销授权 + 转账前核对地址。前者 2022 年损失约 4 万美元，后者 7 年零事故。

差别不在运气，在操作习惯。

如果你只想记三件事

  1. 助记词手写 + 金属板，不拍照不联网。
  2. 每次签名前看内容，每月用 Revoke.cash 清理授权。
  3. 大额资产放硬件钱包，转账前先转小额测试。

钱包这东西，用对了是保险柜，用错了是漏斗。你不需要成为技术专家，但你需要知道每一步在做什么。

推荐阅读