钱包安全设置里最容易踩的7个坑，我见过太多人栽在第3个
说个真事。去年有个读者找我，说他钱包里的 12 个 ETH 一夜之间没了。我问他助记词存哪了，他说拍照存在手机相册里，还备份到了 iCloud。我当时就沉默了。这不是黑客技术多高明，是他自己把钥匙复印了一份挂在门口。
钱包安全这事，坑基本都藏在“我觉得这样没问题”里面。下面这几个，是我这几年见过频率最高的。
坑一：助记词拍照、截图、存网盘
这是最普遍的操作，也是最致命的。手机相册、微信收藏、iCloud、Google Photos、备忘录，这些东西的共同点是——都联网。
2022 年有个案例，攻击者专门扫 iCloud 账户，通过撞库拿到一批 Apple ID，翻相册找助记词截图，前后盗走约 300 万美元的资产。你以为的“备份”，在攻击者眼里就是放在公共储物柜里的钥匙。
正确做法就一条：助记词只用手写，写在纸上或金属助记词板上，离线存放。怕丢就写两份，分两个物理位置放。别嫌土，土办法最抗打。
坑二：把助记词导入来历不明的钱包或网站
有人看到个“空投查询工具”，页面让你连接钱包，你没细看，直接输了助记词。恭喜，你的钱包从此是别人的了。
记住一个铁律：助记词只在你自己的硬件钱包或官方钱包 App 里输入，任何时候、任何网站、任何“客服”让你提供助记词，100% 是骗局。 没有例外。MetaMask、Ledger、Trezor 官方永远不会问你要助记词。
连接钱包做交互，用的应该是“连接钱包”按钮（签名授权），不是手动输入助记词。这两件事性质完全不同，很多人分不清。
坑三：所有资产放一个钱包，还天天用来交互
这是我最想吐槽的。有人把全部身家放在一个钱包里，这个钱包还天天连各种 DApp、领空投、mint NFT。相当于你出门买菜揣着全部家当，还专走人多的地方。
我的建议是至少分三个钱包：
- 冷钱包（硬件钱包）：存大头，平时不联网，一年动不了几次
- 温钱包：放中等额度，偶尔交互用
- 热钱包：放零花钱，随便折腾，被盗了也不心疼
具体点说，如果你总资产超过 1 万美元，硬件钱包的钱该花了。Ledger Nano S Plus 大概 79 美元，Trezor Model One 大概 69 美元。花 500 块人民币保护 7 万块的资产，这笔账不用算。
坑四：授权（Approval）给完就不管了
你在 Uniswap 授权了 USDC，在某个 NFT 平台授权了全部 NFT 操作权限，用完之后你以为没事了。实际上这些授权一直挂着，合约如果被攻破，或者本身就是恶意的，你的资产随时能被划走。
2023 年有个链上数据显示，超过 60% 的活跃地址存在“无限授权”给陌生合约的情况。有人被盗就是因为半年前授权过一个没听过的合约。
操作建议：每隔一两个月去 revoke.cash 或 Etherscan 的 Token Approvals 页面查一下，把不用的授权撤销掉。花 5 分钟，省大麻烦。
坑五：忽略钱包的“隐藏功能”——多签和社交恢复
很多人不知道，现在钱包早就不只是“一个助记词走天下”了。Safe（原 Gnosis Safe）多签钱包，可以设置 2/3 或 3/5 签名才能动资金。一个人被盗助记词，资产也转不走。
社交恢复钱包（比如 Argent）更友好，丢了设备可以找信任的联系人帮你恢复，不用背助记词。这些方案对新手其实比传统助记词更安全，只是知道的人不多。
如果你管的是团队资金或者家庭资产，多签几乎是必须的。单人单钥，风险太集中。
坑六：不验证地址，复制粘贴就走
转账时复制地址，粘贴，发送。中间如果剪贴板被恶意软件替换，钱就进了别人的地址。这类攻击叫“剪贴板劫持”，在 Windows 上尤其常见。
操作习惯改一下：粘贴地址后，核对前 6 位和后 4 位。大额转账先发一笔小额测试。硬件钱包屏幕上显示的地址一定要和电脑上的一致，不一致立刻停手——这说明你的电脑可能已经被控了。
坑七：以为“钱包密码”等于安全
MetaMask 那个解锁密码，只是本地加密用的。别人拿到你的助记词，根本不需要你的密码。很多人设了个复杂密码就觉得很安全，助记词随手扔在邮箱草稿箱里。
密码保护的是“设备被人碰到”这个场景，助记词保护的是“资产归属”这个根本问题。两码事，别混淆。
说到底，钱包安全没有高科技，全是习惯问题。助记词离线、资产分层、定期撤授权、转账核对地址，这四件事做到，能挡掉 90% 以上的常见攻击。剩下那 10%，才轮到讨论硬件钱包型号和高级方案。
别等丢了才补课。我见过太多人，出事之前都觉得“我不会那么倒霉”。