同一个助记词，为什么他被盗了80万而你没事？

· 币种支持

先说两个我亲眼见过的事。

2023年3月，我认识的一个DAO贡献者，钱包里32个ETH被清空。链上记录显示，黑客从他导入助记词的那一刻起，只用了11分钟就完成了授权和转移。他自己的操作是：把助记词拍照存在手机相册里，手机开了iCloud同步。

同一个月，另一个朋友在Opensea卖了个NFT，收到一笔“空投”链接，点进去签名，钱包里的USDC被划走2.4万刀。他用的钱包是当时最新版本，助记词写在纸上锁在抽屉里。问题出在签名，不是助记词。

两件事放一起看，钱包安全从来不是“备份好助记词”一句话能解决的。助记词泄露、签名授权、设备环境，三条线任何一条断了，钱就没了。下面按我踩过的坑和见过的案例，拆开讲。

助记词：别让它出现在任何联网设备里

上面第一个案例，问题不在助记词本身，在存储方式。手机相册+iCloud，等于把私钥交给了苹果服务器和你的Apple ID密码。黑客拿到iCloud账号（撞库、钓鱼、甚至运营商SIM交换），相册里的助记词就是明文。

我的做法很土但有效：

  1. 助记词只写在纸上，用圆珠笔，不用铅笔（铅笔字会磨掉）。抄两份，分开存放。
  2. 不做任何数字化：不拍照、不存备忘录、不发微信给自己、不存密码管理器。密码管理器再加密，也是联网的。
  3. 如果要更稳，用金属助记词板（市面上20-50刀），防火灾水浸。我用的是一块不锈钢板，冲压打字的，成本35刀。
  4. 助记词永远不输入到任何网站。包括“验证钱包”“恢复钱包”的页面。讲真，99%的助记词钓鱼就是让你在一个假页面输入12个词。

有个细节很多人忽略：导入助记词到新手机时，确保周围没有摄像头，且手机没有录屏软件在跑。我见过一个案例，用户导入时开着某个“钱包助手”App的悬浮窗，助记词被截屏上传。

签名授权：比助记词泄露更隐蔽的坑

第二个案例是签名钓鱼。这类攻击2023年特别多，Chainalysis的数据显示，2023年因恶意签名导致的损失超过8亿美元。

核心问题是：很多用户分不清“签名”和“交易”。签名（sign）只是证明你同意某件事，不直接动钱。但恶意签名可以授权合约划走你的代币，或者批准一个无限额度的授权。

具体怎么防：

  • 每次弹签名框，先看请求类型。eth_sign 是危险的，它能签任意哈希，尽量拒绝。personal_sign 和 eth_signTypedData 相对可控，但也要看内容。
  • 用 Revoke.cash 定期检查授权。我每月查一次，把不用的DApp授权全撤销。有一次发现半年前交互过的一个小项目，授权额度还是无限，直接撤。
  • 钱包里留“热钱”和“冷钱”分开。日常交互的钱包只放够用的量，比如0.5 ETH加少量稳定币。大额资产放硬件钱包，不连任何DApp。

硬件钱包也不是万能。2023年有个案例，用户用Ledger签名了一笔盲签交易（blind signing），合约实际执行的是把NFT全部转走。硬件钱包屏幕上只显示了哈希，用户看不懂就确认了。所以硬件钱包签名时，能看清交易详情再签，看不清就拒绝。

设备环境：你的手机可能比你想的脏

我做过一个实验：拿一台用了两年的安卓机，装过十几个DApp浏览器和钱包插件，用Malwarebytes扫了一遍，报了3个PUA（潜在有害应用）。其中一个是个山寨钱包插件，伪装成某知名钱包的旧版本。

实际操作建议：

  1. 钱包专用机。我有一台旧iPhone，只装钱包App，不装社交软件，不连公共WiFi，系统更新手动控制（大版本更新等一周看反馈）。
  2. 安卓用户尤其注意：不要从第三方商店下钱包APK。2023年有个仿冒imToken的APK在Telegram群传播，装了之后助记词直接回传。
  3. 浏览器插件钱包，只从官方Chrome商店装，装完核对开发者信息和下载量。山寨插件经常用相似图标和名字，比如“MetaMask Wallet” vs “MetaMask”。
  4. 公共WiFi下不做任何签名操作。DNS劫持可以把你导向假DApp页面，页面长得一模一样，签名请求也是真的，只是收款地址换了。

一个我自己的检查清单

每周花5分钟做这几件事，比出事之后追悔有用：

  • 打开Revoke.cash，看授权列表，撤销不认识的
  • 检查钱包App是否有更新（官方渠道）
  • 看一眼最近签名记录，有没有不记得的操作
  • 确认助记词纸质备份还在原位（防丢失/防被发现）

说到底，钱包安全是个习惯问题，不是买个硬件钱包就万事大吉。我见过助记词写纸上但纸被保洁当废纸扔了的，也见过硬件钱包但助记词拍照存云端的。工具是死的，操作的人得绷着这根弦。

你要是刚开始用钱包，先把“助记词不联网”这条做到，已经能挡掉大部分损失。剩下的，慢慢补。

推荐阅读