同一个助记词，为什么他被盗了80万而你没事？ - Trust Wallet教程指南

先说两个真实案例，都是我身边发生的事。

2023年3月，我一个做NFT的朋友把助记词手抄在纸上，拍照存进了iPhone相册。半年后手机送修，修手机的师傅翻相册翻到了那张照片。当天晚上，他钱包里价值80多万人民币的资产被清空。

另一个朋友老陈，同样用手机拍过助记词。但他的手机相册里那张照片，是一张被裁得只剩边角的废纸——助记词写在另一张纸上，拍照时故意只拍了纸的边缘。真正完整的助记词，他分三处存放，任何单独一处都凑不齐12个单词。

两个人的差别不在运气，在设置。

助记词存储：别把鸡蛋放在一个篮子里，也别把篮子放在同一个房间

先说最致命的坑：截图、拍照、存备忘录、发微信文件传输助手。这四件事任何一件都等于把私钥交给互联网。iCloud、Google Photos、微信服务器都会同步，一旦账号被盗或设备被入侵，助记词就是明文。

我的做法是物理分割。12个单词抄三份，每份4个词，分别放在家里保险柜、父母家、银行保管箱。听起来夸张？80万的教训摆在那。更简单的版本：写在金属助记词板上（淘宝几十块），防火防水，比纸靠谱。别买那种带蓝牙、带APP的“智能助记词板”，你的助记词不需要联网。

还有个细节：抄写时别按顺序写。把12个词随机打乱顺序抄，自己在另一处记下正确顺序的编号。就算纸被人捡到，他也拼不出来。

助记词没丢，资产照样能没。这是很多人忽略的。

去年有个读者找我，说钱包里USDC莫名其妙少了。助记词没泄露，设备没中病毒。查了半天，问题出在三个月前他在一个钓鱼网站点了“Approve”——授权了无限额度的USDC使用权限。攻击者不需要他的私钥，直接调用合约把他钱包里的USDC转走了。

操作步骤记好：打开 revoke.cash 或 Etherscan 的 Token Approvals 页面，连接钱包，逐个检查授权列表。看到不认识的合约、或者授权额度是“Unlimited”的，立刻撤销。我自己的习惯是每个月第一个周末花10分钟查一遍，跟还信用卡一样变成固定动作。

我见过太多人把所有资产放在一个钱包里，包括天天用来交互、mint、领空投的那个。这等于把全部家当揣在裤兜里上街。

我的配置是三层的：

冷钱包层：Ledger或Trezor，只进不出。大额资产、长期持有的币放这里。助记词从不碰网络，交易签名在设备上完成。买硬件钱包认准官网，别在淘宝买二手——有人专门卖预先初始化过的设备，助记词 attackers 早就记下了。

温钱包层：一个新的手机钱包（比如Trust Wallet或Rabby），只装在一台不常用的旧手机上，不连公司WiFi，不装社交软件。用来做中等额度的操作。

热钱包层：日常交互用的钱包，里面永远只放够用一周的Gas费和少量交互资金。丢了不心疼。

三层之间的转账只走链上，不走任何“跨链桥客服”“空投领取”链接。

第一，关闭钱包的“自动添加代币”功能。 很多钱包默认开启，骗子会往你地址空投垃圾币，名字起得跟正经项目一模一样。你一点“添加”，合约就可能触发授权。MetaMask在设置里可以关。

第二，用独立浏览器配置文件。 我所有钱包操作都在Chrome的一个独立用户配置文件里完成，这个配置文件不装任何其他扩展，不登录任何网站。日常刷推、看新闻用另一个配置文件。恶意扩展是钱包被盗的高发原因，2023年至少有三个流行钱包扩展被曝出窃取助记词。

说到这，你可能会问：这么折腾不累吗？

老实说，前两周确实累。但形成肌肉记忆之后，每次操作多花30秒，换的是晚上能睡着觉。我那个丢了80万的朋友，现在比我设置得还细。代价这东西，没付过的人总觉得别人小题大做。