钱包安全设置里最容易踩的五个坑，第3个我见过太多人中招 - Trust Wallet教程指南

上周有个读者私信我，说钱包里的 12 个 ETH 没了。我问他助记词存哪了，他说拍照存手机相册，还备份到了微信收藏。我当时就沉默了——这不叫备份，这叫公开广播。

干了五年 crypto 写作，见过太多人栽在本可以避免的坑里。今天不聊虚的，就说说钱包安全设置里那些真实存在的误区。

坑一：助记词数字化存储

这是最普遍的问题。截图、拍照、存备忘录、发微信文件传输助手、存网盘——每一种都是在给黑客递钥匙。

手机相册会被云端同步。iCloud 泄露事件不是一次两次了，2023 年就有攻击者通过撞库拿到大量 iCloud 账户的照片流。你的助记词截图就躺在里面。微信收藏更不用说，腾讯的服务器上存着你钱包的全部权限。

正确做法：手写在纸上，或者用钢制备份板刻字。分两处存放，比如一份放家里保险柜，一份放父母家。不要告诉任何人这两样东西放在哪。如果你持有的资产超过 1 万美元，花 200 块买个防火防水的金属助记词板，不亏。

我认识一个 DeFi 老玩家，所有仓位都在一个钱包里，平时交互、撸空投、连新项目全用这个地址。结果有一次点了个钓鱼网站，签名了一笔 setApprovalForAll，NFT 被搬空，连带钱包里的稳定币也被授权转走。

热钱包就是你的零钱包，不是金库。我的习惯是分三层：

硬件钱包也没你想的那么安全。Ledger 2020 年泄露了 27 万用户的邮箱和地址信息，后来这些用户收到了大量钓鱼邮件和恐吓信。买硬件钱包时用匿名邮箱，收货地址别写门牌号。

这个坑我见太多人中招了。钱包弹出一个签名请求，大多数人看都不看直接点确认。你知道你签的是什么吗？

常见套路：一个看起来像“登录”的 Sign 请求，实际上授权了对方转走你某个代币的权限。还有一种 Permit 签名，签完之后对方可以在你不知情的情况下转走指定代币，连 gas 都不用你付。

2024 年 5 月，一个钓鱼团伙用 Permit2 签名漏洞在两周内盗走了超过 70 万美元的资产。受害者大多数是在 Discord 里点了“验证钱包”的链接。

操作建议：每次签名之前，看三样东西——请求来源域名对不对、授权对象是谁、授权内容是什么。MetaMask 现在会显示风险提示，别忽略它。遇到看不懂的签名请求，直接拒绝。用 revoke.cash 定期检查授权，每月一次，花不了五分钟。

有人觉得钱包密码不重要，反正有助记词兜底。但手机丢了、电脑被人碰了的时候，钱包密码就是第一道门。

更常见的问题是密码太弱。123456、生日、手机号——这些在暴力破解面前撑不过一秒。还有人所有钱包用同一个密码，一个泄露全部沦陷。

设置建议：钱包密码至少 12 位，大小写字母加数字加符号。用密码管理器生成和存储，别自己记。如果你用浏览器插件钱包，给浏览器本身也设个锁屏密码，离开电脑时养成锁屏习惯。

连公共 Wi-Fi 操作钱包、在网吧登录钱包、用别人的电脑导入助记词——这些操作的风险不用我多说。DNS 劫持和中间人攻击在公共网络环境下并不罕见。

还有一个很多人忽略的：转账前不做小额测试。我见过有人第一次往新地址转 5 个 ETH，地址输错一位，资产直接进了别人的口袋。链上交易不可逆，转错了没人能帮你找回。

实操习惯：新地址先转 0.001 ETH 测试，确认到账再转大额。操作钱包时用手机热点或自己家的网络。浏览器装个反钓鱼插件（比如 Wallet Guard 或 Pocket Universe），能拦截大部分已知钓鱼域名。

说个真实的事。去年有个朋友被钓鱼，损失了 3 个 BTC。事后复盘，攻击者是通过他推特上发的一张截图里的浏览器书签栏，发现他常用的交易平台，然后做了个高度相似的钓鱼站。一张截图泄露的信息比你想象的多。

钱包安全说到底就一句话：别嫌麻烦。多花 10 分钟检查授权、多花 5 分钟做小额测试、多花 200 块买助记词板——这些成本和你可能损失的资产比起来，几乎为零。