钱包安全设置里最容易踩的五个坑，我见过太多人栽在第三个
先说一个我亲眼见过的事。去年一个读者找我，说钱包里的 12 个 ETH 没了。我问他助记词存哪了，他说拍了张照片存在手机相册里，还同步了 iCloud。手机没丢，私钥没泄露给任何人，但钱就是没了。问题出在哪？他的 Apple ID 密码跟某个交易所账号密码一样，那个交易所 2022 年出过数据泄露。
这类事我见得太多了。钱包安全设置这个事，坑不在技术多复杂，在于很多人的“安全习惯”本身就是漏洞。
坑一：助记词数字化存储
这是最普遍的问题。我做过一个小范围统计，问过大概 40 个持币超过 1 万美元的人，其中 11 个人承认助记词以某种数字形式存在过——截图、备忘录、微信收藏、邮件草稿、云笔记。
每一种都是定时炸弹。
截图会进相册，相册会同步云端。备忘录同理。微信收藏和邮件草稿意味着助记词经过了腾讯或谷歌的服务器。云笔记更不用说，2023 年 LastPass 泄露事件里，攻击者直接拿到了用户加密保险库里的明文备注，不少人的助记词就这么没的。
正确做法就一条：助记词只以物理形式存在。抄在纸上，或者刻在金属板上。纸怕水怕火，金属板贵一点但省心。别嫌麻烦，你存的是钱。
坑二：把“钱包密码”当成安全边界
很多人以为钱包设了密码就安全了。这里有个关键区别要讲清楚：钱包的解锁密码保护的是“这台设备上的这个钱包应用”，它不保护你的链上资产。
私钥在链上，谁拿到私钥谁就能转走钱，跟你设没设那个 6 位密码没关系。攻击者拿到你的助记词，导入一个新钱包，你的密码形同虚设。
所以钱包密码该设，但它只是防你手机被人临时拿走时的顺手操作。真正的安全边界是私钥和助记词的保管方式。
坑三：授权管理从不清理
这个坑最隐蔽，也最要命。
你在 Uniswap 上换个币，在 OpenSea 上挂个单，在某个新项目网站上点个“Approve”，本质上都是给某个合约一个额度授权。很多人不知道，这些授权是永久的，除非你手动撤销。
2023 年 3 月，一个叫 Swaprum 的项目跑路，直接利用用户之前给的授权把池子抽干，损失约 300 万美元。受害者里不少人只是半年前在那个 DEX 上交易过一次，授权一直没撤。
操作上很简单：定期去 revoke.cash 或者 Etherscan 的 Token Approvals 页面，连上钱包，看看哪些授权还挂着。不用的全部撤销。我自己的习惯是每月 1 号查一次，花不了 5 分钟。
还有个细节：授权时尽量选“自定义额度”而不是“无限授权”。多花 10 秒，少一个后门。
坑四：所有资产放一个钱包
讲真，我理解图省事的心态。但把大额资产和日常交互放同一个钱包，等于把保险柜钥匙挂在门把手上。
我的做法是分三层：
- 冷钱包：Ledger 或 Trezor，存长期不动的大头。助记词物理保存，永不触网。
- 热钱包 A：只做交互，比如 DeFi、NFT mint、新项目测试。里面只放你愿意损失的量。
- 热钱包 B：纯粹用来收付款、跟朋友转账，不连任何 DApp。
这样即使热钱包 A 被钓鱼或授权被利用，损失可控。冷钱包因为从不连接不明网站，私钥永远不暴露。
有人会问：那冷钱包怎么参与 DeFi？用硬件钱包连接 MetaMask，交易在设备上确认，私钥不出设备。多一步确认，安全系数高一个量级。
坑五：忽略“地址投毒”和“零转账”
这是近两年越来越常见的手法。攻击者往你的地址转 0 个 USDT 或者极小额代币，让你的交易记录里多出一条陌生地址。这个地址跟你常用的收款地址前几位和后几位长得几乎一样。
你下次转账时从历史记录里复制地址，很可能就复制到攻击者的地址上。钱一转，直接进贼窝。
2023 年底链上安全公司统计过，地址投毒类攻击单笔平均损失约 4.7 万美元，受害者大多是习惯从交易历史复制地址的老用户。
防法很简单：转账前核对完整地址，至少看中间 6 位。更稳妥的做法是建一个地址簿，常用地址存进去，每次从地址簿选，不从历史记录复制。MetaMask 和 Rabby 都支持地址簿功能。
几个不显眼但管用的设置
说几个实操层面的小设置，很多人没注意：
MetaMask 里有个“交易模拟”功能，默认开着，但有人嫌慢关掉了。别关。它会在你签名前告诉你这笔交易实际会发生什么——转出多少、授权给谁、有没有异常调用。2024 年初好几个钓鱼网站就是靠这个功能被用户识破的。
另外，浏览器插件钱包别装太多。每多一个插件就多一个攻击面。我见过有人同时装了 MetaMask、Trust、Coinbase Wallet、OKX Web3 四个插件，结果其中一个山寨插件混进去，把签名请求转发给了钓鱼服务器。
硬件钱包的固件更新也别跳过。Ledger 2023 年修过一个固件层面的漏洞，不更新的话，物理接触设备有可能提取种子。虽然需要物理接触，但如果你经常带着设备出门，这个风险是实打实的。
说到底，钱包安全没有一劳永逸的设置。它是一个持续的习惯——助记词不触网、授权定期清、资产分层放、地址仔细核。每一条都不难，难的是每次都做到。