钱包安全设置：我见过太多人在这5个地方栽跟头 - Trust Wallet教程指南

上个月有个读者找我，说他的MetaMask被盗了，里面2.3个ETH没了。我问他助记词存哪了，他说拍照存在手机相册里。我当时就沉默了。这不是个例，我聊过的被盗案例里，八成以上都不是因为黑客多厉害，而是自己给自己挖了坑。

助记词：别用手机拍照，别存微信收藏

先说最要命的。助记词等于你钱包的全部所有权，12个单词，谁拿到谁就能把钱转走。

我见过最离谱的操作：有人把助记词存进微信收藏，还开了云同步。手机丢了，微信被盗，钱包跟着完蛋。还有人截图存相册，结果手机送修的时候被维修店的人翻到。这种事在Reddit上隔三差五就有人发帖哭诉。

具体怎么做：买两张金属助记词板，淘宝几十块钱一张，把12个单词刻上去。一张放家里保险柜，一张放父母家或银行保管箱。别用纸，纸怕水怕火。别用电子设备，任何联网的设备都不行。

如果你非要数字化存储，至少用离线方式。比如用一台永远不联网的旧手机拍照，然后把手机锁起来。但这个方案依然不如金属板可靠。

去年有个案例，某用户在半年前参与了一个NFT项目的mint，签了一个“setApprovalForAll”授权。项目方跑路后，那个合约地址依然有权限转走他钱包里所有的同类NFT。半年后他买了一只无聊猿，第二天就没了。

这就是授权漏洞。你在DApp上每次点“确认”，都可能给了对方转走某种资产的权限。

操作步骤：打开revoke.cash，连接钱包，它会列出你所有链上授权。逐条看，把不认识的、不用的全部revoke掉。每次revoke要花gas，以太坊主网大概2-5美元一笔，但比你丢一个NFT便宜多了。

建议每个月检查一次。特别是撸空投撸得多的钱包，授权列表能拉几十条。

我自己的做法是至少三个钱包：

冷钱包：Ledger或Trezor，存大额资产。助记词永远不碰网络。转账的时候才插电脑，平时扔抽屉里。

热钱包A：MetaMask，只放够日常交互的金额，比如0.5 ETH以内。撸空投、mint、连各种乱七八糟的网站都用这个。被盗了也不心疼。

热钱包B：另一个MetaMask，专门放中等额度的资产，不连任何不信任的DApp。只用来接收和转出。

讲真，很多人一个钱包走天下，撸空投、存大额、连陌生网站全用一个地址。一旦某个环节出问题，全军覆没。

上个月有人给我发了个链接，uniswap.org 变成了 uniswop.org，我差点没看出来。点进去界面一模一样，连钱包弹窗都做得跟真的一样。一旦你签名，钱包就被清空。

几个硬规则：

永远不点别人发的链接。要访问Uniswap就自己手动输入网址，或者用书签。别人发你的链接，哪怕看起来再真，也不点。

装一个钱包安全插件。比如Pocket Universe或者Fire，它们会在你签名前模拟交易结果，告诉你这笔签名会不会转走你的资产。Pocket Universe收费，一年大概几美元，但能挡掉大部分钓鱼。

签名前看弹窗内容。MetaMask弹窗里会写这笔交易干什么。如果写的是“Approve”但你只是想swap，停下来想想。如果写的是“Set Approval For All”但你只是mint一个NFT，大概率有问题。

交易所的2FA用Google Authenticator，别用短信验证。SIM卡交换攻击这两年太多了，攻击者补办你的手机卡，短信验证码就到他们手里了。

钱包本身的密码（比如MetaMask的解锁密码）跟交易所密码要分开。我知道记多个密码很烦，但用1Password或Bitwarden管理，主密码记脑子里。

还有个细节：MetaMask的密码只保护本地设备，不保护链上资产。也就是说，别人拿到你的助记词，不需要你的MetaMask密码就能转走钱。密码只是防止别人用你电脑的时候打开钱包。所以别觉得设了密码就安全了，助记词才是根本。

假设你要参与一个新项目的mint。我的流程是这样的：

整个流程多花5分钟，但能避免99%的常见被盗场景。

说到底，钱包安全不是什么高深技术，就是别偷懒。你省的那几分钟，可能就是你全部身家的代价。