钱包踩过的坑：这7个错误让你的币说没就没 - Trust Wallet教程指南

我见过太多人把币放在交易所，觉得自己在“持币”。其实你持的是一张欠条。FTX倒的那天，几十万人的欠条变成了废纸。钱包这事，说简单也简单，说复杂——每年因为用错钱包丢的币，链上数据随便翻翻都是九位数美元起步。

助记词拍照存手机，等于把私钥贴公告栏

最常见的死法。有人把12个单词截图放相册，有人存微信收藏，有人直接发给自己小号。你知道iCloud被撞库过多少次吗？2023年LastPass泄露事件，攻击者直接扒走了用户保险库里的助记词，后面跟着的就是钱包被清空。

正确做法：手写。两张纸，分开存放。一张放家里保险柜，一张放父母家或银行保管箱。别用电子设备记录，别用打印机（有些打印机有存储功能）。你要是觉得手写太原始，可以买块钢板刻上去，防火防水，几十块钱的事。

你刷推特看到有人发：恭喜你获得XX空投，点击链接领取。点进去，页面长得跟官网一模一样，连Logo和配色都对。它让你连钱包，你连了；它让你签名，你签了。签完那一刻，钱包里的ETH和所有代币被转走。

这里的坑在于：签名不等于转账，但恶意签名可以授权对方转走你的资产。Permit签名、setApprovalForAll，这些词你看着陌生，骗子比你熟。领空投之前，去项目官方推特确认链接，别从评论区点。更保险的做法：用一个专门撸空投的小号钱包，里面只放Gas费，主钱包永远不连陌生DApp。

有人用MetaMask、Trust Wallet、Rabby、OKX Web3，每个钱包都记了助记词，结果分不清哪个对应哪个。恢复的时候挨个试，试到第三个发现单词顺序记错了，急出一身汗。

我的习惯：一个主钱包，只做冷存储，助记词手写两张纸，永不联网。一个热钱包，放日常交互的小额资金，助记词单独记。每个钱包在纸上标注清楚：创建日期、用途、对应地址前六位。别嫌麻烦，你恢复钱包那天会感谢自己。

你在Uniswap授权了USDC，在OpenSea授权了NFT操作权限，在某个土狗项目授权了无限额度。半年后项目跑路，合约里留了个后门，把你钱包里剩下的USDC全划走。你甚至不知道什么时候授权的。

操作步骤：打开revoke.cash，连钱包，看授权列表。把不用的、不认识的、额度是“无限”的全部撤销。建议每个月做一次，跟还信用卡一样养成习惯。Gas费几美元，比被划走上千美元划算。

你复制收款地址，粘贴到转账页面，看起来一模一样。实际上剪贴板木马在你复制的那一刻，把地址换成了攻击者的，前后几位相同，中间不同。你转出去0.5 ETH，到了骗子口袋。

防法：转账前核对完整地址，至少核对前六位和后六位。更稳的做法：用硬件钱包，屏幕上显示完整地址，你对着屏幕核对。或者先转一笔极小金额测试，确认到账再转大额。别嫌慢，慢就是快。

有人在闲鱼买Ledger，便宜三百块，到手直接用。结果设备被提前初始化过，助记词在卖家手里。你存进去的币，他随时能转走。

官方渠道买，拆封后必须自己初始化，生成新助记词。如果你打开设备发现已经初始化好了，或者里面附了一张写着助记词的纸——直接退货，别碰。Ledger官方有过数据泄露，客户地址被曝光，但设备本身没问题，问题出在二手和假货。

Gnosis Safe多签钱包是个好东西，但有人设了3/3多签，三个私钥全在自己手里，存在同一个密码管理器里。这跟单签没区别，密码管理器被黑，三个私钥一起丢。

多签的意义在于私钥分人分地。2/3多签，一个私钥在你硬件钱包，一个在合伙人手里，一个在银行保管箱。任何单点泄露都不致命。你要是自己一个人用，设2/3，两个私钥放不同物理位置，第三个做备份。

2022年，某DeFi协议创始人钱包被清空，损失超千万美元。事后复盘：他的助记词存在LastPass里，LastPass被黑，攻击者拿到助记词，等了三个月，等他钱包里进了大额资金才动手。他不是不懂安全，他是懒。

钱包安全没有中间态。你要么花时间把该做的做了，要么花时间后悔。链上交易不可逆，转出去就是转出去了。今天花半小时检查授权、核对助记词存放位置，比明天在链上看着余额归零强。