助记词抄在纸上放抽屉，和直接转给骗子区别不大
上个月有个读者找我，说他钱包里 12 个 ETH 没了。我问他助记词存哪，他说拍照存手机相册，还备份了一份在微信收藏。我听完沉默了三秒。这跟把家门钥匙插在门上有什么区别。
讲真，钱包出事的方式就那么几种，但每种都能翻出新花样。我整理了这几年见过的真实案例，对照着说。
助记词泄露：最常见的死法
先说个数据。慢雾统计过，2023 年他们追踪的链上被盗资金里，超过六成和私钥/助记词泄露有关。不是合约漏洞，不是黑客多牛，就是你自己把钥匙弄丢了。
我见过最离谱的一个案例：某用户把助记词写在便利贴上，贴在显示器边框。家里来修空调的师傅顺手拍走了。三天后钱包清空。损失 4.2 个 BTC。
另一个常见操作是存云笔记。iCloud、Google Keep、微信收藏，这些地方都有人存过。2022 年有个案例，攻击者通过钓鱼拿到 Apple ID，翻 iCloud 备忘录找到了助记词，转走了价值 80 多万美元的资产。苹果的备忘录加密强度取决于你的 Apple ID 密码，而很多人那个密码是 Wang123456。
正确的做法其实很土：手写在纸上，两份，分开放在只有你知道的地方。别拍照，别存云，别发给自己。纸怕火怕水，那就买块钢板刻上去，几十块钱的事。我自己的助记词分了三份，放在三个物理位置，任何人拿到单独一份都没用。
授权钓鱼：点一下按钮，钱包就空了
去年有个读者发我一个链接，说“帮我看看这个空投是不是真的”。我打开一看，页面做得跟 Uniswap 一模一样，但域名是 unlswap.org。他已经在上面点了“Claim”，钱包里 approve 了一个恶意合约，USDC 被划走了 1.2 万。
这类骗局的核心是 approve 和 Permit 签名。你签的时候以为在领空投，实际上是在授权对方动你的代币。更狠的是 Permit2 签名，连 gas 都不用你出，签完对方直接划账。
怎么防？每次签名前看清楚两件事：域名对不对，授权对象是谁。Uniswap 是 app.uniswap.org，多一个字母都是假的。另外装个钱包插件比如 Rabby，它在签名前会模拟交易结果，告诉你资产会怎么变。MetaMask 原生没这个功能，得自己多留神。
已经授权过的，去 revoke.cash 查一下，把不用的授权全撤销。我每隔两个月查一次，每次都能翻出几个忘了撤销的。
助记词输入到网页里：99% 是骗局
有个用户跟我说，他在一个“钱包验证”页面输入了助记词，因为页面说“不验证无法恢复资产”。输完 10 分钟，钱包空了。
记住一条铁律：任何网站、任何人、任何客服，只要让你输入助记词，100% 是骗子。 没有例外。MetaMask 官方不会让你输助记词，Ledger 不会，交易所也不会。助记词只在一个地方用：你自己在钱包软件里恢复钱包的时候。而且那个软件得是你从官网下的。
说到下载，再提一嘴。2023 年 Google 搜索广告里出现过大量假冒 MetaMask 的钓鱼站，点进去下载的插件会直接把你助记词传到攻击者服务器。下钱包只从官网或者官方 GitHub 走，别搜。
硬件钱包也不是万能药
有人觉得买了 Ledger 就万事大吉。我见过一个案例：用户买了台二手 Ledger，卖家提前在里面装了恶意固件，助记词在初始化时就泄露了。损失 3 个 BTC。
买硬件钱包只从官方渠道买，别贪便宜买二手。收到后自己走一遍初始化流程生成新助记词，别用卖家给的。Ledger 官方也说过，他们的设备出厂时不预置助记词。
另外硬件钱包的助记词一样要物理备份。设备丢了可以换新的，助记词丢了就真没了。
转账转错链：找回的概率比你想象的低
有个读者把 USDT 从以太坊转到了 BSC 地址，因为两个地址长得一样（都是 0x 开头）。2 万 USDT 卡在链上，BSC 那边他没有对应私钥，根本取不出来。
跨链转账前确认三件事：目标链对不对、地址格式对不对、代币是不是目标链上的原生版本。ERC-20 的 USDT 转到 BSC 地址，除非那个地址你也有私钥，否则基本等于烧了。有些交易所支持跨链找回，但收手续费，而且不是所有情况都能救。
小额先测试。转 10 块钱试试，到了再转大额。这个习惯能省掉 90% 的麻烦。
钱包里的“零成本”陷阱
最后说个隐蔽的：钱包里突然多出来的 NFT 或代币。别碰。2023 年有个常见的骗局，往你钱包空投一个假 NFT，你点进去看详情，页面会引导你连接钱包“领取”，一连接就触发恶意授权。还有假代币，你尝试卖掉的时候，合约会要求你 approve 一个恶意地址。
处理方式很简单：不认识的资产别交互，直接在钱包里隐藏掉。Rabby 和 MetaMask 都支持隐藏代币。想清理的话，用 revoke.cash 看授权，别直接跟那些来路不明的合约交互。
钱包安全说白了就一句话：私钥和助记词不离手、不离线、不给任何人看。剩下的都是细节。但就是这些细节，每年让几十亿美元从用户口袋里蒸发。