从两次被盗经历说起：我的钱包安全实操指南 - Trust Wallet教程指南

2023年3月，我认识的一个DeFi老玩家在Uniswap上授权了一个钓鱼网站，12分钟内丢了18个ETH。同年11月，另一个朋友把助记词截图存进了iCloud，手机丢失后48小时内钱包被清空。两起事件，损失合计超过40万人民币。

讲真，这类事情我见过太多。钱包这东西，用对了是工具，用错了就是给别人送钱。今天不聊概念，直接上操作。

先搞清楚你在用什么钱包

大部分人分不清托管钱包和非托管钱包的区别。说白了：交易所里的钱包是托管钱包，私钥不在你手里。MetaMask、Rabby、Ledger这些是非托管钱包，私钥（或助记词）由你自己保管。

我见过有人把大量资产放在交易所，觉得“大平台不会跑”。FTX用户当初也是这么想的。2022年11月FTX暴雷，数百万用户的资金至今没完全拿回来。

我的建议很直接：交易所只放交易用的钱，长期持有的资产放非托管钱包。具体比例看个人习惯，但超过30%的资产放交易所，我认为风险偏高。

助记词是12或24个英文单词，是你钱包的终极控制权。丢了助记词等于丢了钱包，泄露助记词等于把钱包送给别人。

常见的错误做法：

截图存手机相册。 我朋友就是这么丢的钱。手机相册会同步到云端，iCloud被撞库、手机丢失后被人翻相册，都是真实发生过的案例。2023年Chainalysis的报告显示，约17%的加密资产被盗案件和私钥存储不当直接相关。

存微信收藏或备忘录。 同理，这些数据都在云端。微信账号被盗的案例不少见。

抄在纸上但放在同一个地方。 火灾、水淹、搬家丢失，这些不是段子。

我自己用的是钢板助记词板，防火防水，刻上去不怕磨损。分两处存放，一处家里保险柜，一处银行保管箱。成本大概200块人民币，比丢钱包便宜太多。

如果你觉得钢板太麻烦，至少做到：手写在纸上，分两个物理位置存放，不要拍照，不要存任何电子设备。

说到这，很多人只关注助记词安全，却忽略了合约授权。你在Uniswap、OpenSea上每次交易，都需要给合约授权代币使用权限。有些授权是无限的——意味着那个合约可以转走你所有该种代币。

2023年6月，一个用户因为三年前给某个不知名DApp授权了USDT的无限额度，项目方合约被攻击后，他的钱包被转走了2.3万USDT。

操作步骤很简单：打开revoke.cash，连接钱包，查看所有授权，把不用的全部取消。我每个月做一次，花不了5分钟。Etherscan的Token Approval Checker也能查，功能类似。

有个细节：取消授权本身需要付Gas费。以太坊主网上一次大概2-5美元，但如果你被授权的是高价值代币，这笔钱值得花。

MetaMask方便，但它连着网，理论上存在被钓鱼、被恶意插件攻击的风险。我自己的做法是：

Ledger Nano S Plus目前售价79美元左右，Nano X大概149美元。一次购买，用几年。对比可能损失的金额，这个投入产出比不用算。

有个常见误区：买了硬件钱包就万事大吉。不是的。2023年5月，有人因为在钓鱼网站上输入了Ledger助记词，硬件钱包里的资产照样被转走。硬件钱包保护的是私钥不触网，但你自己把助记词交出去，谁也救不了。

说几个实用习惯：

永远手动输入网址。 不要点推特、Discord、Telegram里的链接。Google搜索结果前几条也可能是广告钓鱼站。我习惯把常用DApp的网址存书签。

交易前核对合约地址。 在Etherscan上查一下你要交互的合约地址是否和官方公布的一致。Uniswap的Router合约地址是公开的，对不上就是假的。

小额测试。 第一次和某个合约交互，先转10美元试试。确认没问题再加大金额。

装一个钱包安全插件。 Rabby钱包自带交易模拟功能，能在你签名前预演交易结果。Fire的浏览器插件也能拦截部分钓鱼网站。多一层防护不亏。

上个月有个读者私信我，说他在一个“空投领取”网站连接了钱包，签名后资产被转走。我让他立刻做三件事：取消所有剩余授权、把没被盗的代币转到新钱包、在Revoke.cash上确认没有遗漏。他照做后保住了大概60%的资产。

钱包安全没有一劳永逸的方案。你的安全意识本身就是最后一道防线。工具能用就用，流程该走就走，别嫌麻烦。丢一次钱包的麻烦，比你做一百次安全检查加起来都大。