钱包安全设置里最容易踩的五个坑，我见过太多人栽在第二个
我见过一个哥们，助记词写在纸上，拍照存手机相册，还备份到 iCloud。他觉得自己挺周全。后来手机丢了，Apple ID 被撞库，12 个单词被人翻出来，钱包里 3.2 个 ETH 十分钟内清空。
这不是段子。链上追踪显示那笔钱进了混币器，追不回来。
说到钱包安全，大部分人不是不重视，是重视错了地方。下面这几个坑，你对照看看自己踩了几个。
坑一：助记词“数字化备份”
这是最普遍的致命错误。
助记词一旦触网，就等于把私钥交给了互联网。截图、备忘录、微信收藏、邮件草稿、云笔记——这些全都不行。iCloud 和 Google Photos 的自动同步机制意味着你拍一张照片，它可能同时出现在三台设备上。苹果 2023 年有过一次大规模 Apple ID 撞库事件，当时就有用户报告钱包被盗，事后排查发现助记词存在 iCloud 备忘录里。
正确做法：手写在纸上，或者用钢制助记词板。写两份，分开存放。一份在家里的保险柜，一份在可信的物理位置（比如父母家）。不要告诉任何人这两份东西放在哪。如果你持有金额较大，考虑 Shamir 备份方案，把助记词拆成三份，任意两份才能恢复，单份泄露没有意义。
坑二：把“钱包密码”当安全边界
很多人以为设了钱包密码就安全了。讲真，钱包密码保护的是本地设备上的访问权限，它不保护链上资产。
举个例子。MetaMask 的密码只在你当前浏览器解锁时起作用。如果攻击者拿到了你的助记词，他根本不需要你的密码，直接在另一个设备上导入就完事了。密码形同虚设。
更危险的是硬件钱包的 PIN 码。有些用户以为设了 PIN 就万无一失。但如果你买的是二手设备，或者从非官方渠道购买，PIN 码可能早就被预设了。2022 年有一起案子，用户在闲鱼买的 Ledger 被提前初始化过，助记词是卖家生成的，用户充进去的 8 个 BTC 直接进了卖家口袋。
买硬件钱包只从官网买。拆封后第一件事：自己初始化，生成全新助记词。永远不要用别人给你的助记词，永远不要用预置了助记词的设备。
坑三：授权无限额，从不撤销
DeFi 玩家最容易忽略这个。
你在 Uniswap 上换个币，在 Opensea 上挂个单，在某个不知名 farming 项目里质押一下——每一次交互都可能留下一个无限额授权。意思是，那个合约可以随时转走你钱包里对应的代币，不需要你再确认。
有个真实案例：2023 年 3 月，一个用户半年前在某个已跑路的项目里授权了 USDC 无限额。项目方虽然跑了，但合约还在链上。攻击者调用合约的 transferFrom 函数，直接把他钱包里 4.7 万 USDC 转走。用户完全不知情，因为授权是半年前的事。
操作步骤：打开 revoke.cash，连接钱包，看一遍所有授权。把不用的、不认识的、无限额的授权全部撤销。建议每两个月做一次。Gas 费也就几美金，比被清空便宜太多。
另外，养成习惯：每次授权时手动把额度改成你实际需要的数量，别偷懒点“无限”。
坑四：所有资产放一个钱包
这是仓位管理问题，但本质是安全问题。
你把 BTC、ETH、稳定币、NFT、空投代币全放一个钱包里。这个钱包只要签过一次恶意合约，或者助记词泄露一次，全部归零。
我自己的做法是分三个钱包。冷钱包只存大额、长期不动的资产，永远不连 DApp。热钱包放中等金额，用来做日常交互。还有一个“脏钱包”，专门用来领空投、测试新项目、点不明链接。脏钱包里永远不超过 200 美金的资产。
这样即使脏钱包被钓鱼，损失可控。冷钱包因为从不触网交互，被攻击面极小。
坑五：忽略地址投毒和剪贴板劫持
这两个是近两年增长最快的攻击方式。
地址投毒：攻击者往你钱包转一笔 0 金额的 USDT，或者转 0.001 ETH，但发送地址是伪造的——它和你常用转账地址的前四位和后四位完全一样。你下次转账时从历史记录里复制地址，一不小心就复制到攻击者的地址。2023 年这类攻击造成超过 6000 万美元损失。
剪贴板劫持：你复制了一个收款地址，恶意软件在后台把剪贴板内容替换成攻击者的地址。你粘贴的时候看起来正常，实际已经变了。
防法很简单：转账时不要从历史记录复制地址。用地址簿功能，或者每次都完整核对前六位和后六位。转账前先发一笔极小金额测试，确认到账后再发大额。硬件钱包用户注意：设备屏幕上显示的地址才是真实的，电脑屏幕上显示的可能被篡改。以设备屏幕为准。
一个容易被忽略的细节
浏览器插件钱包的环境隔离。
你装了 MetaMask，又装了十几个其他插件。其中任何一个插件有恶意代码，理论上都能读取 MetaMask 注入的 provider 信息。2023 年有一个 Chrome 插件被爆出偷取用户签名，影响了上万个钱包。
建议：用一个干净的浏览器配置文件专门跑钱包插件，不装其他任何扩展。或者更彻底一点，用专门的浏览器（比如 Brave）只做链上操作。日常上网用另一个浏览器。
安全这件事没有终点。但上面这几条做到，你已经跑赢 90% 的人了。