钱包安全设置清单：从助记词到多签，这7步少一步都可能归零
上周又看到一个帖子，某老哥把助记词截图存手机相册，结果手机送修被人翻出来，12万美元清空。这种事2024年还在反复发生，说明大部分人根本没把钱包安全当回事。
我做了五年链上安全相关的内容，自己也丢过钱。讲真，钱包安全没有什么高深理论，就是一堆细节堆起来的。下面这些设置，你对照着检查一遍，缺哪个补哪个。
助记词：别用任何电子方式存
这是最老生常谈的一条，但也是最多人栽跟头的地方。截图、备忘录、微信收藏、邮箱草稿——这些全都等于把私钥公开。
正确做法就一个：手写在纸上，或者用钢制助记词板（市面上20-50美元一块，防火防水）。写两份，分开放在两个物理位置。别告诉任何人，包括自称客服的人。
有个细节很多人忽略：手写的时候按顺序编号。我见过有人抄了24个词但顺序乱了，恢复时试了一下午。
钱包密码 ≠ 助记词
MetaMask 的密码只是本地解锁用的，忘了可以重置。但很多人以为设了复杂密码就安全了，助记词随便放。这是两码事。
真正要保护的是助记词和私钥。钱包密码设置8位以上、包含大小写和符号，够用了。
先小额测试，再转大额
这个操作步骤值得单独说。新钱包或者恢复钱包后，先转10美元等值的币进去，确认收发正常，再转大额。
我认识一个人，恢复钱包时助记词抄错一个词，但钱包照样生成了一个新地址（因为校验位碰巧通过），他直接把3个BTC转进去，发现地址不对，钱没了。10美元的测试成本能救你几万美元。
硬件钱包：别嫌麻烦
2023年Ledger 用户数据泄露事件之后，很多人对硬件钱包有顾虑。但说实话，链上资产被盗的案例里，硬件钱包用户占比极低。Trezor 和 Ledger 仍然是目前最靠谱的选择。
设置步骤：
- 只从官网买，别碰二手和第三方渠道
- 开箱检查封条
- 设备初始化时自己生成助记词，不要用预置的
- 固件升级到最新版
- 在设备屏幕上核对每一笔交易的地址和金额
第5步是关键。很多人图快，电脑上点了确认，设备上直接按按钮，地址根本没看。恶意软件替换剪贴板地址就是这么得手的。
授权管理：定期清理
DeFi 玩家最容易忽略这个。你在 Uniswap、OpenSea 上每次授权合约，都相当于给那个合约一把钥匙。有些恶意合约会留后门。
去 revoke.cash 或者 etherscan 的 Token Approvals 页面，连上钱包，把不用的授权全部取消。建议每个月查一次。我上个月清理时发现自己2022年授权过的一个合约还在，那个项目早就跑路了。
多签：大额资产的标配
如果你钱包里超过5万美元，单签钱包的风险太高了。一个私钥泄露就全没了。
用 Safe（原 Gnosis Safe）建一个2/3多签：三个签名人，任意两个确认才能转账。三个设备分开，比如手机、电脑、硬件钱包各一个。这样即使一个设备被攻破，资产也动不了。
设置不复杂，safe.global 上一步步走就行，gas费大概几美元。大额资产这点成本不值一提。
钓鱼：最大的威胁不在链上
讲真，现在黑客很少去暴力破解私钥，成本太高。他们直接骗你。
常见套路：
- 假空投网站，连钱包就弹签名请求
- Discord 私信说你的NFT有白名单
- 谷歌搜索广告买到假钱包官网（2024年3月出现过假 Rabby 钱包广告）
防法很简单：任何网站让你签名，先看清楚签的是什么。MetaMask 会显示“此请求可能转移你的资产”这类警告，看到就停。书签保存常用网站，别每次搜索。
最后说一个真实案例
2024年5月，一个 DeFi 玩家在 Telegram 上点了一个“MEV 机器人”的链接，授权了钱包，30秒内被转走18万美元的 USDC。链上记录显示，攻击合约在他授权后自动执行了 transferFrom。
这个案例里，硬件钱包也救不了他，因为他主动签了授权。安全意识比工具重要。
检查一下你现在用的钱包：助记词是纸质的吗？最近清理过授权吗？大额资产在硬件钱包里吗？三个问题有一个答“否”，今天就动手改。