钱包新手最常踩的五个坑，以及我朋友怎么丢了12个ETH
我朋友老张，2021年11月，在Uniswap上看到一个 meme 币，翻了3倍。他觉得自己找到了财富密码，把钱包里的12个ETH全换了进去。第二天项目方撤池子，代币归零。他犯的错不是买了土狗，而是他用的那个钱包，是他为了图方便从微信群里下载的“官方中文版”。
讲真，这种事我见过太多次了。钱包这东西，门槛不在“会不会用”，在“知不知道哪里会要命”。下面这几个坑，每一个都有人真金白银填过。
坑一：从搜索引擎下钱包
你在百度或谷歌搜“MetaMask 下载”，前几条大概率是广告。2023年3月，有安全团队统计过，谷歌搜索结果里伪装成 MetaMask 的钓鱼网站，单月出现过 40 多个。这些站点的下载包会直接把你助记词回传给服务器。
正确的做法是：只从官网下。MetaMask 的官网是 metamask.io，注意是 .io 不是 .com。硬件钱包 Ledger 是 ledger.com，Trezor 是 trezor.io。把这些地址存书签，别每次搜。手机端更简单，直接去 App Store 或 Google Play，核对开发者名称——MetaMask 的开发者是 MetaMask，不是 MetaMask Wallet Inc. 之类的变体。
坑二：助记词存手机备忘录
我见过至少五个人把 12 个单词截图存在相册里，或者复制到微信收藏。手机丢了、云同步被撞库、甚至修手机时被店员看到，都是真实发生过的路径。
助记词的正确处理方式只有一种：手写在纸上，或者刻在金属板上。抄两份，分两个物理位置放。不要拍照，不要存网盘，不要发给自己。如果你非要数字化，用不联网的设备加密码管理器，但老实说，对大多数人来说纸+笔最稳。
这里有个细节：抄的时候核对三遍。BIP39 词库里 abandon 和 ability 长得很像，抄错一个字母，钱包就恢复不了。有统计说，助记词恢复失败案例里，超过一半是抄写错误，不是被盗。
坑三：授权不看数额
这是最隐蔽的坑。你在某个 DEX 上交易，弹窗让你“Approve”，你点了确认。很多人不知道，这个授权可能是无限额的。意思是，那个合约可以随时转走你这种代币的全部余额，不需要你再确认。
2022 年有个案例，某用户授权了一个假 Uniswap 合约，USDC 无限额。三个月后项目方跑路前，把他钱包里 8 万 USDC 一次性划走。他完全没收到任何二次确认。
操作上，每次授权前看一眼数额。MetaMask 的弹窗里会写 Allowance，如果是 Unlimited，你能改就改成实际需要的数量。更稳妥的做法是定期清理授权。用 revoke.cash 或 etherscan 的 Token Approvals 页面，把不用的授权全部撤销。我自己的习惯是每月查一次，花不了五分钟。
坑四：一个钱包装所有资产
把大额资产和日常交互放同一个钱包，等于把存折和零钱放一个口袋。你每天要连各种 DApp、签各种消息，暴露面越大，出事概率越高。
比较稳的结构是分层。冷钱包（Ledger 或 Trezor）放长期持仓，私钥不碰网。热钱包分两个：一个专门做交互，里面只放够用的 gas 和少量资产；另一个做中转，不连任何 DApp。转账时从冷钱包到中转，再到交互钱包，多一步，但安全边界清楚。
我自己的配置是：Ledger 存 80% 资产，MetaMask 小号放 0.5 ETH 以内做日常，中间用一个不常用的钱包做隔离。听起来麻烦，但真出事的时候，你损失的上限是锁死的。
坑五：签名弹窗不看内容
现在钓鱼最主流的方式不是偷助记词，是骗你签名。eth_sign 和 personal_sign 这两种签名请求，签出来的东西可能是一笔转账授权。你以为是登录，实际上是授权对方转走你的 NFT。
2023 年 5 月，有个知名 NFT 收藏家被钓走 3 个 BAYC，原因就是他签了一个看起来像“网站登录”的消息，实际内容是 setApprovalForAll。链上签名不可逆，签了就是签了。
习惯上，任何签名弹窗，先看有没有 setApprovalForAll 或 permit 字样。MetaMask 现在会对高风险签名标红，但别只依赖它。看不懂的十六进制数据，用 etherscan 的 Decode Input Data 工具解一下，或者干脆拒绝。宁可少交互一次，别赌。
一个真实的小场景
上周有人问我，为什么他钱包里 ETH 余额显示 0，但 etherscan 上明明有 0.3 ETH。我让他看网络——他在 MetaMask 里切到了 BSC 网络，看的是 BSC 地址的余额。切回以太坊主网就正常了。
这种“假零余额”每月都有人问。多链钱包的网络切换是新手高频卡点。记住一点：地址在每条链上是同一个，但余额是分开的。看余额前先确认左上角的网络名称。
钱包的安全，说白了就是把几个动作变成肌肉记忆：官网下载、手抄助记词、授权看数额、签名看内容、资产分层放。每一个都不难，难的是每次都做到。老张那 12 个 ETH，就是少做了第一条。