钱包安全设置：从助记词到多签，这几层防护别省
说个真事。上个月我朋友在 Opensea 卖了个 NFT，收到 0.8 ETH，钱包是 MetaMask。第二天打开钱包，余额归零。私钥没泄露，助记词也没拍照。问题出在他两周前点过一个“领取空投”的网站，签了一笔 setApprovalForAll，把整个钱包的 NFT 权限授了出去。黑客等了两周才动手。
这类事 2023 年发生了太多次。Chainalysis 的数据显示，当年因私钥泄露和授权钓鱼造成的损失超过 10 亿美元。钱包安全不是“设个密码就完事”的事，它是一套分层防护。
助记词：离线是唯一的正确答案
助记词是钱包的根。12 或 24 个单词，谁拿到谁控制资产。
我见过太多人把助记词存在手机备忘录、微信收藏、甚至截图放相册。这些全部等于把私钥贴在脑门上。手机连网就有被读取的风险，iCloud 和 Google Photos 同步更是把风险放大到云端。
正确做法很笨但很有效：
- 手写在纸上，两份。一份放家里保险柜或抽屉，另一份放父母家或银行保管箱。
- 不要用电子设备记录。不拍照、不打字、不发消息给自己。
- 如果一定要数字化备份，用助记词钢板（比如 Cryptosteel 或 Billfodl），防火防水，物理隔离。
有个细节容易被忽略：助记词顺序不能错。我见过有人抄的时候把第 7 和第 8 个词写反了，恢复钱包时直接生成一个空地址，以为资产丢了，吓出一身汗。
钱包密码和助记词是两回事
很多人搞混。钱包的“密码”（比如 MetaMask 的登录密码）只保护本地设备上的钱包访问，它不保护链上资产。就算你设了 20 位复杂密码，助记词泄露了照样归零。
所以别把精力花在“把钱包密码设复杂”上，那只是防你室友动你电脑。真正要防的是助记词泄露和恶意授权。
授权管理：大多数人忽略的漏洞
回到开头我朋友的事。以太坊上的 ERC-20 和 ERC-721 合约有一个 approve 机制，你授权某个 DApp 可以动用你的代币或 NFT。很多人点“确认”时不看细节，授权了无限额度。
操作建议：
- 每次交互后，去 Revoke.cash 或 Etherscan 的 Token Approvals 页面检查一遍。
- 把不用的授权全部撤销。特别是那些“无限授权”（unlimited approval）。
- 新项目交互时，用一个小号钱包，里面只放够用的 Gas 和少量资产。主钱包不碰陌生合约。
讲真，这个习惯花不了你 3 分钟，但能挡掉大部分钓鱼。
硬件钱包：不是万能，但能挡掉 90% 的远程攻击
Ledger 和 Trezor 这类硬件钱包的核心价值是：私钥永远不触网。交易在设备上签名，电脑只负责广播。
2024 年初有个典型案例。一个 DeFi 玩家在电脑上存了加密的 keystore 文件，电脑中了剪贴板劫持木马。他转账时复制了收款地址，木马把地址替换成黑客的，他确认时没核对硬件屏幕，结果 15 万美元打水漂。如果他用了硬件钱包并在设备屏幕上核对地址，这笔交易根本不会签出去。
用硬件钱包有两个坑要避开：
- 购买渠道。只在官网或官方授权渠道买。二手平台和第三方店铺有被预置助记词的风险。
- 固件更新。Ledger 2023 年爆过 Connect Kit 的供应链攻击，攻击者替换了 npm 包，导致 DApp 前端被注入恶意代码。保持固件更新，但更新前核对官方公告。
多签钱包：大额资产的标配
如果你持有超过 5 万美元的加密资产，单签钱包的风险已经不太划算了。一个私钥泄露，全盘皆输。
Safe（原 Gnosis Safe）是目前最主流的多签方案。你可以设 2/3 或 3/5 的签名规则，比如 3 个密钥持有人中 2 个签名才能动资金。密钥可以分散在不同设备、不同人手里。
实际操作中，很多 DAO 和金库都用 Safe 管理资产。个人用户也可以低成本部署，以太坊主网部署费大概 20-50 美元，L2 上更便宜。
一个容易被忽视的设置：交易模拟
MetaMask 和 Rabby 现在都支持交易预执行模拟。签名前会显示这笔交易执行后你的资产变化。Rabby 默认开启，MetaMask 需要手动打开“交易模拟”功能。
这个功能挡钓鱼特别管用。比如你以为是“领取空投”，模拟结果显示“你将授权全部 USDC 给 0x7f...”，一眼就能看出问题。
最后说一个真实误区
有人觉得“我钱包里没多少钱，黑客看不上”。实际情况是，攻击是自动化的。恶意脚本扫描链上所有地址，不管余额多少，能薅就薅。2023 年有个地址因为授权了一个恶意合约，被自动转走了价值 47 美元的代币，Gas 费还是黑客出的。黑客不在乎金额大小，在乎的是批量。
钱包安全没有“一键设置”。它是一层一层叠上去的：助记词离线、授权定期清理、大额上硬件或多签、签名前看模拟结果。每层都不复杂，但少一层就多一个口子。