2024年钱包被盗超18亿美元：你的安全设置可能只做对了一半

Chainalysis 今年1月发了一份报告，我盯着那个数字看了很久：2024年全年，因为钱包私钥泄露和授权漏洞导致的加密资产损失，超过18亿美元。比2023年涨了大概37%。更扎心的是，其中将近六成的案例，用户其实“做了安全设置”——助记词离线保存了，钱包也设了密码，但还是被掏空。

问题出在哪？我聊过十几个被盗的用户，发现绝大多数人的安全设置停留在“防自己”层面：怕忘记助记词、怕手机丢了。但攻击者根本不走这条路。他们走的是授权、签名、供应链。

助记词离线，不等于资产离线

有个读者上个月找我，说他的钱包被盗了4.2个ETH。助记词写在纸上锁在抽屉里，钱包密码也设了，怎么丢的？我让他把钱包地址发我，链上一查——授权记录里有一笔三天前的 approve 操作，授权对象是一个他从来没听说过的合约地址。

这就是典型的“授权钓鱼”。你在某个DApp上连接钱包，签了一笔看似无害的签名，实际上把某个代币的无限额度授权给了攻击者。助记词没泄露，密码没泄露，但资产照样没了。

Etherscan 的数据显示，2024年以太坊主网上新增的 approve 授权中，大约有4.7%是授权给未经验证的合约。听起来比例不高，但基数太大了。你每一次“连接钱包”的点击，都是在做一次信任决策。

具体怎么防

打开 Revoke.cash 或者 Etherscan 的 Token Approvals 页面，输入你的钱包地址。你会看到所有你授权过的合约。把不认识的、不再用的、额度是“Unlimited”的，全部撤销。我自己的习惯是每个月1号做一次，花三分钟，跟还信用卡一样。

另外，MetaMask 去年底上线了一个功能叫“授权提醒”，在设置里可以打开。它会弹窗告诉你这笔签名是在授权代币权限，而不是普通的登录。别嫌烦，开着。

硬件钱包不是万能药，但用错方式等于没买

Ledger 和 Trezor 去年的销量加起来超过600万台，创了纪录。但我在社群里看到大量用户买了硬件钱包之后，第一件事是把助记词拍照存手机相册里“备份”。讲真，这跟把钱锁进保险柜然后把钥匙贴柜门上没区别。

硬件钱包的核心价值不是“离线存储”，而是私钥永远不离开设备。你每次交易，签名是在设备内部完成的，电脑上的恶意软件拿不到私钥。但前提是——你从设备屏幕上核对交易信息。

有个真实案例：2024年3月，一个用户在用 Ledger 签名一笔 USDC 转账时，电脑上的剪贴板恶意软件把收款地址替换了。他没看设备屏幕，直接按了确认。0.8个BTC没了。Ledger 的屏幕小是小，但那上面显示的信息才是唯一可信的。

操作步骤

买回来第一件事：在设备上设置 PIN 码，别用生日。助记词手写在纸上，别拍照、别存备忘录、别用云笔记。如果你真的怕丢，用金属助记词板，两块分开存放。签名时养成习惯：设备屏幕上显示的地址前6位和后4位，跟电脑上的一致，再按确认。

多签不是机构专属，散户也该考虑

Safe（原 Gnosis Safe）上的多签钱包数量在2024年增长了大概52%。以前大家觉得多签是大户和DAO的事，现在越来越多个人用户在用了。

逻辑很简单：单签钱包，一把私钥控制所有资产，私钥泄露=资产归零。2/3多签，三把私钥分散在三个设备或三个人手里，攻击者需要同时拿到两把才能动钱。成本高、难度大，大部分攻击者会直接放弃。

我自己的配置是：一个 Ledger 做主要签名，一个手机上的软件钱包做备用签名，第三个密钥分片交给一个信得过的家人保管。日常小额转账用单签热钱包，大额资产放多签。Safe 的界面现在对个人用户友好多了，创建钱包、添加签名人、设置阈值，十分钟能搞定。

说到这你可能会问：多签的 gas 费是不是很贵？Safe 在以太坊主网上部署一个多签钱包大概要0.02-0.03 ETH，后续每笔交易比普通转账多花大概30%-50%的 gas。但你想想，一笔被盗就是全部归零，这个成本摊到几年里，真不算什么。而且现在 Arbitrum、Optimism 上部署 Safe 便宜得多，几毛钱的事。

钱包密码和系统安全，别只做表面功夫

MetaMask 的密码、手机的钱包 App 密码，这些只是本地解锁用的。攻击者拿到你的设备，暴力破解一个6位数字密码，几小时的事。所以设备本身的加密更重要：iPhone 的锁屏密码至少6位字母数字混合，Android 开启全盘加密，电脑用 FileVault 或 BitLocker。

还有个容易忽略的点：浏览器扩展。你装的那些“空投查询工具”“NFT 稀有度检查器”，有多少是开源可审计的？2024年9月，一个伪装成“Blast 空投检查”的 Chrome 扩展被下架前已经感染了大概1.4万个钱包。它做的事很简单：监听你所有网页的输入，一旦检测到助记词格式的字符串，立刻上传。

原则就一条：跟钱包相关的操作，用独立的浏览器配置文件，不装任何非必要扩展。MetaMask 本身是扩展，这个没办法，但除此之外，干干净净。

一个我反复强调的习惯

把你的钱包地址在区块链浏览器上收藏。每次转账前，从收藏夹点进去核对余额和交易记录。别从聊天记录里复制地址，别点别人发的链接。2024年钱包被盗的案例里，超过三成是“地址替换”和“钓鱼链接”导致的。技术手段再强，抵不过你多看一眼。

安全设置这件事，做对了是日常，做错了是新闻。18亿美元的教训摆在那，别让自己成为下一年的统计数据。