钱包踩坑实录：我见过太多人在这5个地方把资产搞丢了
我写 crypto 五年，帮人看过不下两百个“钱包出事了”的案例。说真的，私钥泄露的没几个，绝大多数人栽在更蠢的地方。今天不聊理论，就聊我亲眼见过的坑。
助记词拍照存手机，等于把钥匙挂门上
2022 年有个读者找我，说钱包里 3 个 ETH 没了。我问助记词怎么存的，他说拍了张照放相册，还同步了 iCloud。
问题就在这。苹果 iCloud 泄露事件不是一次两次了，2024 年初就有黑客通过社工手段拿到 Apple ID 后翻云备份的案例。你手机丢了、被偷了、维修时被翻相册，助记词全暴露。
正确做法：手写在纸上，或者用钢制助记词板。分两处存放，别放同一个抽屉。真要数字化，用带密码的离线加密容器，且密码别和助记词放一起。
复制粘贴地址，中间被剪贴板劫持
这个坑太隐蔽了。你复制收款地址，粘贴到交易所提币框，看起来一模一样。但有些恶意软件会在剪贴板里把地址换成攻击者的，前后几位还特意做成相同的。
2023 年有个真实案例，某用户转 1.2 万 USDT，粘贴后没核对中间字符，钱直接进了黑客钱包。链上追踪显示，那个地址已经收了超过 40 万美元。
操作建议：粘贴后至少核对前 6 位和后 6 位，最好核对中间一段。大额转账先转 10 美元测试。硬件钱包屏幕确认地址，别只看电脑屏幕。
授权不撤销，钱包成了公共提款机
DeFi 玩多了，你会签一堆 approve。很多人不知道，这些授权是永久的。项目方合约被黑，或者你自己签了个恶意合约，对方能把你钱包里对应的代币全部转走。
2024 年 3 月，某个 NFT 项目合约漏洞，未撤销授权的用户被批量盗走资产，单笔最高 8 个 ETH。
每月花五分钟上 revoke.cash 或 etherscan 的 token approval 页面，把不用的授权全撤了。尤其是那些你只交互过一次的项目。
多签钱包当普通钱包用，丢了就真丢了
有人听说多签安全，搞了个 2/3 多签，结果三个私钥全放自己手里，还都存同一台电脑。这叫多签吗？这叫单点故障穿了件马甲。
多签的核心是密钥分属不同人、不同设备、不同地点。2/3 多签，至少一个密钥在硬件钱包，一个在离线环境，一个交给可信的人或放在保险箱。三个密钥放一起，安全性和普通钱包没区别，还多了操作麻烦。
钓鱼网站做得比官网还像，别信搜索排名
谷歌搜“Uniswap”，前几条广告位可能是钓鱼站。2023 年 Chainalysis 报告显示，钓鱼攻击造成的损失占当年加密盗窃总额的 18%，超过 3 亿美元。
有个读者在假 Uniswap 上授权了 USDC，五分钟内被转走 2.5 万。那个站域名多了个连字符，页面布局一模一样。
防法很简单：收藏常用 dApp 的官方域名，从收藏夹进。别点推特私信里的链接，别信“空投领取”弹窗。装个 Wallet Guard 或 Pocket Universe 这类浏览器插件，交易前会模拟结果给你看。
最后说个反直觉的
很多人觉得硬件钱包绝对安全。我见过有人买二手 Ledger，结果里面预置了钓鱼固件。也见过人把助记词输入到“官方客服”发来的验证页面。
硬件钱包保护的是私钥不触网，但你亲手把助记词交出去，神仙也救不了。任何情况下，助记词不输入任何网站、不告诉任何人、不拍照上传。官方永远不会问你要助记词。
钱包安全这事，技术只占三成，七成是习惯。上面这几条，你中过哪条？