钱包新手最容易踩的7个坑，我几乎每个都踩过
我第一个钱包是2019年下的 MetaMask。助记词截图存手机相册，密码设成生日，还在电报群里问过“谁能帮我看看这个钱包地址对不对”。现在回头看，没被盗干净算是运气好。
这些年帮朋友处理过私钥丢失、授权被盗、助记词被钓鱼的烂摊子，发现新手踩的坑高度重合。挑几个最要命的说说。
助记词存手机相册，等于把家门钥匙挂门上
最常见的操作：创建钱包→截图助记词→存相册→设个手机密码，觉得稳了。
实际情况是，手机相册会同步 iCloud 或 Google Photos。2022 年就有案例，攻击者通过撞库拿到 Apple ID，直接从 iCloud 相册里翻出助记词截图，转走 12 个 ETH。手机丢了、修手机被翻、云盘泄露，任何一条路都通向你资产归零。
正确做法只有一条：助记词手写在纸上，至少两份，分开存放。别存任何联网设备。别拍照。别发微信收藏。别存备忘录。
嫌纸不安全可以上钢板助记词板，淘宝几十块，防火防水。但说白了，纸放抽屉里都比截图强一百倍。
助记词和私钥，不是一回事
有人问我“助记词能不能改”。能问出这个问题，说明根本没搞懂钱包在存什么。
助记词是种子，12 或 24 个单词，能推导出无数个私钥和地址。私钥是单个地址的控制权。你导入钱包时，MetaMask 要的是助记词，不是某个地址的私钥。反过来，如果你只有某地址的私钥，导入后只能看到那一个地址，其他地址不会出现。
这意味着：备份助记词 = 备份整个钱包树。丢助记词 = 全丢。泄露助记词 = 全没。
有个朋友把助记词导入了某个“空投检查工具”网站，三分钟后钱包被清空。他以为只是“验证一下”，实际上是把种子交给了钓鱼站。
授权不取消，等于给陌生人留了后门
DeFi 交互时点的“Approve”，本质是授权某个合约动用你某个代币。很多人点完就不管了。
问题在于，有些恶意合约的授权额度是无限大。你授权一次，对方随时能转走你钱包里所有该代币，哪怕你早就不玩那个项目了。
2023 年就有个典型案例：某人两年前在某仿盘 DEX 授权了 USDC，项目跑路后合约权限没撤销，某天钱包里刚充进 5000 U，十分钟内被划走。
操作步骤很简单：打开 revoke.cash，连接钱包，看授权列表，把不认识的、额度无限的、不再用的全部 revoke。每次交互新协议后，隔一周回来扫一眼。花两分钟，省几千刀。
网络选错，资产“消失”
新手最慌的时刻：从交易所提币到钱包，地址填对了，币没到。
八成是网络选错了。交易所提币页面让你选链，ERC20、BEP20、TRC20 长得像但完全不通。你把 USDT 用 BEP20 提到只支持 ERC20 的钱包地址，币在链上是存在的，但钱包默认网络看不到。
解决办法：在钱包里手动添加对应网络，资产就出来了。但如果提错到不支持的地址，比如提到合约地址，那就真找不回了。
提币前做一件事：先转最小额度测试。10 U 试一笔，到账了再转大额。多花两分钟 gas 费，比丢几千 U 强。
假钱包 App 比你想象的多的多
App Store 和 Google Play 上都出现过假冒钱包。2023 年有个仿冒 MetaMask 的 App 在 Google Play 上架，下载量过了五千，界面一模一样，创建钱包时把助记词直接传到攻击者服务器。
认准官网下载链接。MetaMask 官网是 metamask.io，不是 metamask.com、metamask.org 或任何带后缀的域名。下完核对开发者信息，别嫌麻烦。
安卓用户尤其注意，别从第三方 APK 站下钱包。省那点流量，赔的是全部身家。
一个钱包装所有资产，风险全押一处
有人把所有币放一个钱包，天天连着各种新项目交互。这个习惯很危险。
我的做法是分三层：冷钱包（Ledger 或纯离线助记词）放大额，只进不出；热钱包分两个，一个专门连 DeFi 做交互，里面只放操作需要的量；另一个“脏钱包”专门领空投、点不明链接，里面永远不超过 50 U。
这样即使某个热钱包被钓鱼，损失可控。冷钱包的助记词从来没上过网，攻击面几乎为零。
签名和交易，点确认前看清楚
钱包弹窗有两种：交易（要付 gas）和签名（不付 gas）。很多人看到“签名”觉得不要钱就随便点。
实际上签名分很多种，有些是登录验证，无害；有些是授权转移资产，点完你的 NFT 或代币就可能被转走。OpenSea 上就出过“钓鱼签名”事件，用户签了一个看似无害的消息，结果钱包里的无聊猿被挂低价卖掉了。
习惯：任何弹窗，先看请求内容。看不懂的合约交互，去区块浏览器查合约地址，或者直接拒绝。宁可错过空投，不签不明请求。
最后说个真实的
去年一个读者找我，说钱包里 3 个 ETH 没了。查下来是他把助记词输进了一个“钱包迁移工具”，网站做得跟官方几乎一样，域名只差一个字母。他是在 Google 搜“MetaMask 迁移”点进去的，第一条是广告。
这种事每天都在发生。钱包安全没有捷径，就几条笨规矩：助记词离线、授权定期清、网络核对准、App 从官网下、大额放冷钱包、签名看仔细。
听着啰嗦。但比起丢币后追不回来，啰嗦点好。