钱包助记词丢了、被盗了、忘了，这7个坑我见过太多人踩
我见过最离谱的一件事：一个人把助记词抄在纸上，然后拍照存进手机相册，又把相册同步到了iCloud。后来他点了一个钓鱼网站，黑客进了他的iCloud，钱包里12个ETH没了。他跟我说“我明明备份了啊”。备份了，但备份方式等于没备份。
助记词抄下来就完事了？错
很多人以为助记词写在纸上就安全了。实际情况是，纸会丢、会湿、会被家里人当废纸扔掉。我认识一个哥们，助记词写在便利贴上贴在显示器边框，搬家的时候保洁阿姨顺手撕了。
正确的做法是：助记词用金属助记词板刻录，或者至少分两处存放——比如一半放家里保险柜，一半放银行保管箱。别把12个单词全写在同一张纸上塞抽屉里。丢一张纸等于丢全部。
还有个大坑：截图、拍照、存备忘录、发微信文件传输助手。这些全部不行。手机相册会同步云端，备忘录会被iCloud备份，微信文件服务器上有记录。2022年有个真实案例，某用户把助记词存在手机备忘录里，手机送修时被维修人员翻到，钱包被清空。维修人员不一定懂钱包，但他看到12个英文单词排在一起，搜一下就知道了。
“我钱包里没多少钱，不用那么小心”
这句话我听了不下五十遍。讲真，黑客不挑食。现在有专门的脚本在链上扫小额钱包，只要有余额就自动转走。你钱包里放着0.05个ETH，觉得不值钱，但对批量操作的人来说，一天扫几百个这样的钱包就是一笔收入。
而且更危险的是授权。你在某个DApp上点了“Approve”，授权了无限额度。你以为钱包里没钱就没事，但只要你后来往这个地址打了币，合约可以直接划走。2023年有个用户就是钱包空了半年没管，后来收到一笔转账，30秒内被一个旧授权划走。授权不会因为你钱包余额为零就失效。
建议每隔一两个月打开revoke.cash或者etherscan的token approval checker，把不用的授权全部取消。操作很简单：连接钱包，看到授权列表，点revoke，付一笔gas费就完事。花几美元省大麻烦。
助记词和私钥是一回事？不是
有人问我“我把私钥导入了新钱包，助记词是不是就没用了”。反过来理解就对了：助记词能生成私钥，但私钥不能反推助记词。
这就引出另一个常见错误：换钱包的时候只导了私钥，没导助记词，然后旧钱包删了。结果后来想加一条新链，发现私钥导入的钱包只能管那一个地址，助记词派生出来的其他地址全找不回来了。如果你用助记词管理多个链、多个地址，换设备时一定导助记词，别只导单个私钥。
还有个细节：不同钱包对助记词派生路径的默认设置不一样。你用A钱包生成的助记词，导入B钱包，有可能地址对不上。遇到这种情况别慌，在B钱包里找“派生路径”设置，切换BIP44、BIP49、BIP84几个选项试试，通常就能找到原来的地址。
“我买了硬件钱包就安全了”
硬件钱包确实比热钱包安全，但它不是万能的。我见过有人用Ledger，结果在钓鱼网站上输入了助记词。硬件钱包的助记词在设备初始化时显示一次，你抄下来就行，任何时候都不需要在网页上输入。凡是让你在网页或App里输入助记词的，100%是骗局。
Ledger的Recover功能之前闹过争议，这里不展开。但你得知道一件事：硬件钱包签名的时候，设备屏幕上会显示交易详情，包括收款地址和金额。很多人看都不看直接点确认。2023年有个案例，用户用Ledger签名了一笔交易，实际收款地址和他在电脑屏幕上看到的不一样——电脑中了剪贴板木马。硬件钱包屏幕上的地址才是真的。每次签名花三秒钟对一下前六位和后六位，能救你的命。
空投交互用的钱包和存钱的钱包，分开
撸空投的人越来越多，但很多人拿主钱包去交互。今天 mint 一个不明NFT，明天 approve 一个没审计的合约。一旦合约有后门，主钱包直接归零。
我的习惯是：至少两个钱包。一个冷钱包，只存不放，不连任何DApp。一个热钱包，专门交互用，里面只放够付gas的金额。空投领到了，第一时间转到冷钱包。麻烦是麻烦了点，但比被盗之后后悔强。
另外，别乱点推特上别人发你的“空投链接”。2024年初有个典型骗局：骗子在推特评论区回复“恭喜你获得XX空投”，附一个和官网长得一模一样的链接。你连钱包、点claim，弹出来的其实是approve all的请求。点确认，钱包里的NFT和代币全被划走。记住一件事：真正的空投不需要你付gas去“领取”大部分情况下是这样，需要你主动approve的“空投”大概率有问题。
钱包密码忘了，助记词还在，能找回吗
能。钱包密码（比如MetaMask的解锁密码）只是本地加密用的，和链上资产没关系。卸载重装MetaMask，选“导入钱包”，输助记词，设个新密码，资产全回来。
但助记词忘了、密码也忘了，那就真没办法了。没有客服，没有找回按钮，没有申诉渠道。区块链不认身份证。我见过有人把助记词存在1Password里，结果1Password主密码忘了，助记词也跟着锁死。这种情况只能一个一个试密码，试到被锁定为止。
所以助记词的备份要独立于任何密码管理器。物理介质，离线存放，至少两份，放在不同地点。别嫌麻烦，你存的是钱。