助记词别截图，转账先转 5 美元：加密钱包从创建到防钓鱼的实操流程
钱包里其实一个币都没有
先说个反直觉的事：你的钱包里没存钱。
MetaMask 显示你持有 1.2 个 ETH，那 1.2 个 ETH 实际躺在以太坊链上，归属某个 0x 开头的地址。钱包干的事只有两件——保管"能操作这个地址的钥匙"，以及把链上数据读出来给你看。所以卸载重装、换手机、换电脑，只要助记词还在，币一个不少。
理解这点，后面很多操作逻辑就通了。
12 个单词就是全部身家
新建钱包会弹出一串单词，12 个或 24 个。这是 BIP-39 标准生成的助记词，12 个词对应 128 位熵，24 个对应 256 位，和私钥一一对应。谁拿到这串词，谁就是地址的主人。
MetaMask 的流程大概是这样：设置密码 → 点"创建新钱包" → 抄写助记词 → 按顺序验证一遍。那个密码只是本地解锁用的，忘了可以重装找回。
密码和助记词完全不是一回事。很多人把钱包密码当账户密码，以为记牢它就安全。实际情况是密码泄露不致命，助记词泄露就完了。反过来，密码忘了无所谓，助记词丢了就是真丢了。
助记词存哪里，没有中间选项
我见过太多存法，几乎全是错的。
截图存相册——手机相册会自动同步 iCloud 或 Google Photos。存微信收藏、存备忘录、存网盘、发给自己小号——全都上了云。2023 年 12 月 Chainalysis 发过一份报告，追踪到 2022 年起约 1.5 亿美元的资产被盗，源头指向 LastPass 密码库泄露。LastPass 是密码管理器，用户把助记词存进去了。
靠谱的做法就两三种。买块金属助记词板，把单词刻上去，防火防水，扔保险柜。或者手写两份，分两个物理位置放。再或者用硬件钱包，助记词离线生成，压根不碰联网设备。
真要手写，别用铅笔，别写缩写，别只写前四个字母。BIP-39 词表里 abandon 和 ability 前四个字母一样。
第一笔转账，先花 5 美元买经验
地址格式得先认清。以太坊、BSC、Polygon、Arbitrum 这些 EVM 链，地址都是 0x 开头 42 位，长得一样但链不一样。把 ETH 发到 BSC 地址上，币不会消失，但你得手动导入对应网络才看得见。比特币地址是 1、3 或 bc1 开头，Solana 是一串 base58 字符，互不通用。
操作建议：
- 复制对方地址后，核对前 6 位和后 6 位
- 先转 5 美元等值的币，等区块确认
- 对方确认收到，再转剩下的
- 转账前留够 gas，ETH 主网一笔普通转账大约 0.0002 到 0.001 ETH，拥堵时能翻十倍
这条"小额试水"的规矩看着笨，能挡掉大部分不可逆的损失。链上没有客服，没有撤回按钮。
授权比私钥泄露更常见
你连过一个 DEX，点过 "Approve"，就等于给了那个合约动用某个代币的权限。默认额度通常是"无限"。
麻烦在于这些授权一直挂着。项目方跑路、合约被黑、前端被劫持，你的币都可能被划走。2022 年 8 月 Solana 那次事件，约 8000 个钱包被清空，损失数百万美元，事后查到跟 Slope 钱包把助记词明文上传服务器有关。但日常更普遍的风险还是授权。
定期清理：打开 revoke.cash，连钱包，切到对应网络，能看到所有活跃授权，一键撤销。gas 费几美元。
79 美元的硬件钱包值不值
Ledger Nano S Plus 和 Trezor Safe 3 都在 79 美元左右。持仓超过 1000 美元，我觉得该买一个。
原理不复杂：私钥在设备里生成，永不联网。转账时设备屏幕上显示收款地址和金额，你按键确认，设备签名后把结果发回电脑。电脑中了木马也拿不到私钥，只能拿到一个签好名的交易。所以核对设备屏幕上的地址这一步不能省，木马改的正是你电脑上显示的那个。
常见的坑是从闲鱼买二手硬件钱包，收到的是别人预先初始化好的设备，助记词早被记下了。永远自己初始化，让设备现场生成新助记词。走官方渠道，别贪那几十块差价。
一个地址用到底还是每次换新的
地址复用不会直接导致被盗，但会把你的资产、交易历史、资金来源全公开在区块浏览器上。别人顺着地址能看到你持有什么、跟谁交易过、大概多少身家。想查你，不用黑客技术，Etherscan 就够了。
硬件钱包一般支持多账户，创建新地址成本为零。收大额、或者从 KYC 交易所提币，换个新地址更稳妥。
链上没有后悔药，但有慢一点的习惯。