钱包安全设置里最容易被忽略的7个坑，我踩过3个

· 钱包对比

你的钱包被偷，大概率不是因为私钥泄露。我见过太多人把助记词锁在保险柜里，结果还是被清空。问题出在别的地方。

坑一：以为“不联网就安全”

这是最害人的误区。2023年有个案例，某用户把助记词写在纸上锁进抽屉，钱包是MetaMask，一直没动过。半年后打开，ETH和NFT全没了。

原因很简单：他的助记词在生成那一刻就已经暴露了。他用的是一台二手笔记本，系统里藏着剪贴板木马。助记词复制粘贴的时候就被截走了。

硬件钱包也不等于绝对安全。Ledger 2020年数据库泄露，27万个用户的姓名、电话、家庭地址全部曝光。之后半年内，针对这些用户的钓鱼攻击和入室盗窃案件激增。你的硬件钱包再安全，也扛不住有人拿着刀站在你家门口。

实际该怎么做：

  • 助记词用钢板刻，不要用纸。纸怕水怕火怕老鼠。
  • 生成钱包用全新设备，或者至少是重装过系统的干净设备。
  • 助记词永远不要复制粘贴，不要截图，不要存云盘。手抄。
  • 硬件钱包到手后，先查官方渠道验证真伪，别买二手。

坑二：授权管理不当

这是目前被盗资金最多的渠道，没有之一。你在Opensea上挂个单，在Uniswap上换个币，每次都要授权。很多人授权完就不管了。

有个真实数据：2022年，仅“授权钓鱼”这一类攻击就造成了超过10亿美元的损失。攻击者做一个假的Dapp页面，你点一下“确认授权”，你的USDT就无限量被转走。

更隐蔽的是，有些正规项目的合约本身有漏洞。你授权了某个GameFi项目，结果项目方跑路，合约里的后门直接把你钱包里的币转走。

操作步骤：

  1. 打开 revoke.cash，连接钱包。
  2. 它会列出你所有授权过的合约和对应的代币。
  3. 逐个检查，不认识的、不再用的，全部取消授权。
  4. 以后每次授权，把默认的“无限”改成具体数量。比如你要换100 USDT，就授权100，别授权无限。

养成习惯：每个月查一次授权。花不了5分钟。

坑三：把钱包当银行账户用

一个钱包地址走天下，这是大忌。

你的主钱包地址一旦在链上跟你的身份产生关联（比如你在Twitter上晒过，或者用过ENS域名），所有人都能看到你所有的交易记录、余额、持仓。

有个做NFT的朋友，主钱包里放着几十个蓝筹NFT。有一天他发现有人往他钱包里转了0.001 ETH，备注写着“领取空投请访问xxx.com”。他差点就点了。后来查了一下，那个网站是钓鱼的，专门针对持有高价值NFT的用户。

攻击者怎么找到他的？就是通过链上分析，看到他钱包里有什么，然后精准投毒。

正确做法：

  • 至少分三个钱包：冷钱包（大额存储，不交互）、热钱包（日常交互）、测试钱包（乱点乱试）。
  • 冷钱包地址不要跟任何社交账号关联。
  • 热钱包里只放够用的钱，比如一周的Gas费和交易金额。
  • 收到不明来源的转账或NFT，不要点，不要交互，直接忽略。

坑四：忽略“approve”和“setApprovalForAll”的区别

这两个不一样。approve是授权某个代币的额度，setApprovalForAll是授权你所有的NFT。

很多人不知道setApprovalForAll意味着什么。你点一下，你钱包里所有该系列的NFT，对方都可以随便转走。注意，是所有，包括你后来买的。

2022年有个叫“Pixels”的项目，推特上发了一个假的 mint 链接。用户点进去，以为是在mint，实际上签的是setApprovalForAll。签完之后，钱包里所有的Azuki NFT全被转走。有个用户损失了11个Azuki，当时价值约30万美元。

怎么防：

  • 看到setApprovalForAll，除非你100%确定对方是谁、要干什么，否则一律拒绝。
  • 用Rabby钱包或者Fire这样的工具，签名前会模拟交易结果，告诉你签完之后会发生什么。MetaMask默认不模拟，你签的是什么很多时候你根本不知道。

坑五：助记词“分片存储”的骚操作

有人想了个“聪明”办法：把12个助记词分成三份，一份放家里，一份放办公室，一份放父母家。觉得这样就算一处被盗也没事。

问题是，你分片的时候是不是得先把完整的助记词写出来？写的时候有没有人看到？拍照了没有？而且很多人分着分着自己就忘了哪份是哪份，或者某一份丢了，整个钱包就废了。

更常见的是，有人把助记词存进密码管理器。1Password、Bitwarden这些确实加密，但你的主密码呢？如果你的电脑中了键盘记录器，主密码和助记词一起被端走。

老实说： 助记词就是单点故障。要么用多签钱包（比如Safe，以前叫Gnosis Safe），需要多个设备多个签名才能转钱。要么就接受这个风险，把助记词保管做到极致。

坑六：不验证合约地址

Uniswap上搜“USDC”，能搜出来几十个。有些名字、图标一模一样，合约地址不一样。你换个1000 U，换出来的是假U，一文不值。

有个用户想买PEPE，在Uniswap上搜到第一个就买了，花了2 ETH。买完发现那个代币的合约地址跟官方的不一样，是个貔貅盘，只能买不能卖。2 ETH直接归零。

每次操作前：

  • 去CoinGecko或CoinMarketCap查官方合约地址。
  • 对比Uniswap上显示的合约地址，一个字符一个字符对。
  • 不要从搜索引擎点广告链接进Dapp，手动输入网址。
  • 把常用的Dapp网址加书签，以后从书签进。

坑七：忽略钱包的“连接”权限

你连接过的每一个Dapp，都可能还在后台保持对你的钱包的读取权限。有些恶意网站会利用这一点，在你不知情的情况下发起交易请求。

WalletConnect的session如果不清，你的钱包地址会一直暴露给那个Dapp。

清理方法：

  • MetaMask：设置 → 已连接的网站 → 逐个断开。
  • WalletConnect：打开钱包里的WalletConnect，查看活跃的session，全部断开。
  • 每换一次设备，或者每三个月，清一次。

最后说个真事

我认识一个人，做DeFi的，技术很好。他用了一个多签钱包，3/5，五个签名设备分布在三个城市。他觉得万无一失。

结果有一天，他的一个签名设备被入侵了。攻击者没有直接转钱，而是等了一个月，等到他发起一笔大额转账的时候，篡改了收款地址。他其他四个设备都签名了，因为看到的地址是正常的，只有那个被入侵的设备显示的地址是攻击者的。

他损失了80万美元。

钱包安全没有银弹。你每多一层防护，就多一道门槛。但门槛多了，你自己也可能被绊倒。找到适合自己的平衡点，比追求绝对安全更重要。

推荐阅读