钱包助记词丢了、资产归零、被钓鱼：这7个坑我见一次骂一次
我写 crypto 五年，后台收到最多的私信不是“买什么”，是“我钱包里的钱没了”。
讲真，90% 的丢币事故跟黑客技术多高明没半毛钱关系。问题出在用户自己踩了坑，而这些坑本可以避开。下面这七个，是我见过频率最高的。
把助记词截图存在手机里
这是最蠢的操作，没有之一。
我见过一个哥们，把 12 个助记词截屏存相册，还开了 iCloud 同步。手机丢了，补卡、登 Apple ID、恢复相册，全程不到 40 分钟。等他用新手机登钱包，余额是 0。
你要理解一件事：助记词等于私钥，私钥等于资产所有权。任何联网设备上的助记词副本，都是定时炸弹。截图、微信收藏、备忘录、邮件草稿、云笔记，全都算。
正确做法只有一条：手写在纸上，或者刻在金属板上。至少两份，分开存放。别拍照，别打字，别发给任何人——包括你自己。
分不清“钱包”到底在管什么
很多人以为钱包里“存着币”。错。钱包里存的是私钥，币在链上。
这个认知偏差会要命。比如你用 MetaMask 的默认地址 A 收了 ETH，后来导入助记词到 Trust Wallet，发现余额是 0，慌了，以为币丢了。其实 Trust Wallet 默认给你生成的是另一个地址 B。
链上资产永远在，只是你没找对地址。
操作上记住：换钱包软件时，先确认新钱包导入后生成的地址跟原地址一致（对比前 6 位和后 4 位），不一致就手动添加原地址的派生路径。别急着转币测试。
授权钓鱼：点一下，钱包被搬空
2023 年 5 月，一个朋友在推特上点了个“领取空投”链接，钱包弹窗显示“Approve”，他点了确认。三分钟后，钱包里价值 8 万美元的 USDC 被转走。
这就是授权钓鱼。你以为在领空投，实际上签的是“允许对方无限额转走你的某代币”的合约授权。
避坑方法不复杂：
- 任何空投链接，先用 revoke.cash 查一下当前授权状态
- 钱包弹窗出现
Approve或SetApprovalForAll字样，停下来看清楚授权对象是谁 - 大额资产放冷钱包，热钱包只留够用的零花钱
已经被钓过的，立刻去 revoke.cash 撤销授权，但币能不能追回来，看运气。
助记词“验证”骗局
你在 Discord 或者 Telegram 遇到“官方客服”，对方说“为了验证你的钱包，请提供 12 个助记词”。你给了，币没了。
记住一句话：任何要你助记词的人或网站，100% 是骗子。 没有例外。官方客服不会要，空投不会要，钱包升级不会要。助记词只在你初始化钱包或恢复钱包时输入，其他任何场景，一律不给。
有个变种更阴：假的钱包官网。你搜“MetaMask 下载”，排前面的可能是广告，域名是 metamask-download.com 之类的仿冒站。装完输入助记词，直接打包发给骗子服务器。
下载钱包只认官网，手动输域名，别点搜索结果里的广告链接。
多签钱包只设 1/1
有人用 Safe 多签钱包，觉得自己很专业。结果配置是 1/1——一个私钥就能转走所有钱。那跟普通钱包有啥区别？
多签的意义在于分散单点风险。至少 2/3 起步：3 个签名人，转账需要 2 个确认。签名人用不同设备、不同物理位置，最好有一个人用硬件钱包。
我自己的配置是 2/3：手机一个、笔记本一个、Ledger 一个。丢任何一个都不影响资产安全，丢两个才需要走恢复流程。
硬件钱包买了不验证
从非官方渠道买 Ledger 或 Trezor，是另一个高频坑。
2021 年有过案例：骗子在亚马逊卖“预配置”的 Ledger，里面附一张纸条，写着“为了安全，请使用我们提供的助记词初始化”。用户照做，资产全进了骗子口袋。
硬件钱包到手第一件事：自己生成新助记词，绝不用设备里预置的。 第二件事：去官网下载官方软件（Ledger Live 或 Trezor Suite），核对设备固件签名。第三件事：买只从官网或官方授权渠道买，二手的一律不要。
把交易所账户当钱包用
“我币放币安，很安全。”——这话在 FTX 暴雷之后，没人敢说了吧？
交易所不是钱包。你放在交易所的币，私钥不在你手里，你持有的是交易所的欠条。交易所被黑、跑路、冻结提现，你的币就没了。2022 年 FTX 破产，用户资产缺口约 80 亿美元，到现在还有人没拿回来。
原则很简单：长期持有的资产，放自己掌握私钥的钱包。交易所只留交易用的部分。别嫌麻烦，麻烦一次，好过归零一次。
最后说一个真实场景
去年有个读者私信我，说他助记词写纸上，纸被洗衣机洗了，字迹模糊到只剩 4 个词能认出来。
12 个词，丢 8 个，神仙也救不了。
所以手写助记词之后，多做一步：用另一张纸再抄一份，或者买块几十块钱的金属助记词板刻上去。纸怕水怕火怕丢，金属板不怕。几十块的成本，换的是几万甚至几十万资产的可恢复性。
这笔账，你自己算。