我用过12个钱包，最后只留下了这3个——附避坑操作清单
2023年3月，我朋友老张在某个不知名钱包里存了4.2个ETH。某天他点了一个空投链接，钱包弹出“授权”请求，他看都没看就点了确认。三分钟后，4.2个ETH被转走。事后他跟我说：“我以为那个弹窗是领空投的确认按钮。”
这事儿不新鲜。Chainalysis 2024年的报告显示，2023年因钱包授权钓鱼造成的损失超过8.7亿美元。问题出在哪？不是他不懂区块链，是他选错了钱包，也没搞明白“授权”到底意味着什么。
三个钱包的真实使用对比
我自己长期在用的三个钱包，分别对应不同场景：
MetaMask——日常交互主力。浏览器插件+移动端，支持EVM全链。缺点是默认RPC节点偶尔卡顿，swap费率不透明。我2022年有一次在Uniswap上通过MetaMask swap，滑点设了默认的0.5%，结果一笔5000 USDC换ETH的交易，实际到手少了将近40美元。后来我养成了习惯：swap前手动把滑点调到0.1%-0.3%，大额交易直接走聚合器。
Ledger——冷存储。2021年买入，Nano X，当时花了149欧元。它的价值不在于“绝对安全”，而在于私钥不触网。我所有超过5万美元等值的资产都放这里。但注意，Ledger Live的swap功能费率偏高，我一般只用来收发和质押，交易还是连MetaMask做。
Rabby——多链交互的备选。最大的好处是交易前模拟：它会告诉你这笔交易执行后余额怎么变，授权给哪个合约、额度多少。2024年初我测试一个新的L2项目，Rabby直接弹红字提示“该合约可转移你全部USDC余额”，我当场取消了。
你可能会问，为什么不用OKX Web3钱包或者Trust Wallet？Trust我用过半年，2022年有一次在BSC上交互，gas费估算偏差太大，交易卡了40分钟。OKX钱包功能全，但我不太习惯把交易所账户和自托管钱包绑得太紧。说白了，钱包这东西，顺手的才是好的。
创建钱包时最容易犯的三个错
第一个坑：截图助记词。 我见过至少五个人把助记词截图存在手机相册里，甚至有人存微信收藏。手机连网，相册同步iCloud或Google Photos，等于把私钥挂在网上。正确做法：手写在纸上，至少两份，分开存放。别用电子设备记录。
第二个坑：一个钱包走天下。 我现在的做法是至少分三个钱包：一个“热钱包”只放交互用的少量资金（不超过总资产的5%），一个“温钱包”放中等额度，一个冷钱包存大额。2023年Blur空投那波，很多人用主钱包去刷量，结果钱包地址被标记，后续空投反而被女巫过滤。分散地址不只是安全，也是策略。
第三个坑：忽略链ID和网络切换。 2024年2月，有人在BSC上往一个ETH地址转USDT，以为跨链会自动到账。实际结果是资产卡在BSC链上，因为接收方交易所只支持ERC-20。转账前确认三件事：链对不对、代币合约地址对不对、接收方是否支持这条链。MetaMask切网络时那个下拉菜单，别嫌麻烦，每次看一眼。
授权管理：比助记词更容易被忽视的风险
助记词泄露是“一次性死亡”，授权钓鱼是“慢性失血”。你每交互一个DApp，可能就授权了一次代币转移权限。很多授权是无限额的。
操作步骤：打开Revoke.cash（或者Rabby内置的授权管理），连接钱包，它会列出所有你授权过的合约。重点看两类：一是无限额授权（Unlimited），二是你已经不用的DApp。我上个月清理了一次，发现2022年交互过的一个NFT平台还挂着USDC的无限授权，直接revoke。
频率建议：每季度清理一次。大额交互后立刻检查。别等出事再后悔。
说到这，有个细节值得展开：EIP-2612的permit函数让授权和交易合并成一笔，省gas，但也意味着你签一个“签名”就可能完成授权。2023年11月，某DeFi协议被攻击，攻击者利用的就是用户之前签过的permit签名。签名请求和交易请求，弹窗长得不一样，看清楚再点。
转账前的检查清单
我自己的习惯，转账前过一遍：
- 小额测试：先转10美元等值，确认到账再转大额。2024年3月我给一个新地址转ETH，先发了0.01 ETH，结果发现对方给的是BSC地址，及时止损。
- 检查gas：以太坊主网拥堵时gas可能飙到50 gwei以上，一笔简单转账成本超过10美元。不急就等，或者走L2。
- 核对地址前后6位：恶意软件会替换剪贴板地址，前后各看6个字符，中间部分很难被完整替换。
- 别在公共WiFi下操作大额转账。
老实说，钱包没有“最好”，只有“适合当前场景”。我见过有人用交易所钱包存了全部身家，也见过有人把冷钱包助记词弄丢。工具是死的，操作习惯是活的。你对自己钱包的掌控程度，决定了你在链上能走多远。