助记词抄在纸上放抽屉，和直接转给我，区别不大
上个月有个读者找我，说他钱包里的 2.3 个 ETH 没了。我问他助记词存哪了，他说拍照存在手机相册里，还备份了一份在微信收藏。我当时没忍心说他——这跟把私钥打印出来贴小区公告栏，安全性差不多。
讲真，钱包这东西，出问题的方式就那么几种，但每种都有人前赴后继地踩。我经手咨询过的案例里，丢币的原因排个序：助记词泄露占一半以上，剩下的才是合约授权、钓鱼网站、私钥丢失这些。
两个真实案例，结局完全相反
先说个正面的。2022 年有个做设计的朋友，钱包里长期放着大概 15 万美元的资产。他的做法我觉得可以抄作业：助记词手写在两张纸上，一张放家里保险柜，一张放父母家的抽屉。手机不存任何截图，电脑不存任何文本文件。每次需要签名交易，他用一台专门的老笔记本，平时不联网，用完就断网。麻烦吗？麻烦。但他三年没出过事。
反面的例子更典型。去年有个读者在 Discord 上收到一条私信，对方说他的 NFT 项目白名单快截止了，发了个链接让他“连接钱包验证”。他点了，钱包弹窗，他签了个名。三分钟后，钱包里的无聊猿和 8 个 ETH 全没了。他以为自己只是“登录”，实际上签的是一个 setApprovalForAll 授权，把整个钱包的资产处置权交给了对方。
这两个案例的差别在哪？不是技术水平的差别，是习惯的差别。
助记词到底该怎么存
我见过最离谱的存法：写在便利贴上贴显示器边框，说是“随时能看到不会忘”。也见过存 Google Drive 的，存备忘录的，存微信文件传输助手的。
说白了，任何联网的设备都不该碰助记词。你存手机相册，iCloud 自动同步，苹果服务器上就有了一份。你存微信收藏，腾讯的服务器上就有了一份。你存备忘录，看厂商的加密做得怎么样——但你没义务去赌这个。
具体操作我建议这样：手写，用圆珠笔不用铅笔（铅笔会褪色），写清楚每个单词的拼写和顺序编号。写两份，分两个物理位置存放。别用打印机打，打印机有缓存。别用金属助记词板——那东西防火灾不假，但 2023 年有个案子是入室盗窃专门翻保险柜找金属板，反而成了靶子。
如果你资产量在 10 万美元以上，可以考虑多签钱包，比如 Safe。2/3 多签意味着攻击者得同时拿到两个私钥才能动钱，单点泄露不至于归零。设置不复杂，Safe 的界面现在做得挺傻瓜的，创建钱包、添加签名人、设阈值，十分钟能搞定。
授权管理：大多数人忽略的定时炸弹
说到这，你可能会问：我助记词存得好好的，是不是就安全了？
不一定。合约授权是另一条泄露路径。你在 Uniswap 上换个币，在 OpenSea 上挂个单，都会产生授权。有些授权是无限额的，意思是那个合约可以随时转走你对应的代币，不需要你再确认。
我建议每季度查一次授权。工具用 revoke.cash 或者 Etherscan 的 Token Approvals 页面。操作步骤：连接钱包（用只读模式，别签名），看列表里有哪些授权，把不用的、不认识的、无限额的统统 revoke 掉。每次 revoke 要花几美元 gas，但比丢币便宜多了。
有个细节：revoke 的时候注意看合约地址。有人做钓鱼网站仿冒 revoke.cash 的界面，你以为是取消授权，实际签的是新一轮授权。认准网址，别从搜索引擎点广告链接进去。
小额热钱包，大额冷钱包，别搞反了
我自己的配置是这样的：日常交互用一个热钱包，里面常年不超过 500 美元等值。买 NFT、试新项目、领空投，都用这个。丢了不心疼，就当交学费。
大额资产放硬件钱包，Ledger 或 Trezor 都行，买官方渠道的，别贪便宜买二手。收到货先检查包装封条，初始化的时候自己生成助记词，不要用设备预生成的。硬件钱包的助记词同样手写备份，别存电脑。
这里有个常见误区：有人以为买了硬件钱包就万事大吉，助记词随手拍照存手机。硬件钱包保护的是私钥不触网，但助记词泄露了，硬件钱包就是个摆设。攻击者拿到助记词，在任意一台设备上恢复钱包，你的 Ledger 还在抽屉里躺着，钱已经走了。
钓鱼的几种新花样
2023 年下半年开始，钓鱼手法升级了。以前是假网站骗你输助记词，现在更多是骗你签名。
常见套路：伪造空投页面，让你“领取”代币，实际签的是授权；冒充项目方发邮件，附件是 PDF，里面嵌了恶意链接；在 Telegram 群里发“客服”私聊，指导你“修复钱包”，一步步诱导你签交易。
防的办法就一条：任何让你签名的操作，停下来看清楚弹窗内容。MetaMask 的签名弹窗会显示具体信息，如果是一串你看不懂的 hex 数据，或者授权对象是个没见过的合约地址，直接拒绝。看不懂就不签，这条原则能挡掉 90% 的钓鱼。
最后说个实在的
钱包安全没有一劳永逸的方案。我见过助记词存得滴水不漏但被身边人偷走的，也见过硬件钱包用得很规范但签了个恶意合约的。你能做的是把常见漏洞堵上：助记词离线手写、授权定期清理、大额资产冷存储、签名前看清楚。
做到这四条，你已经比大多数人安全了。剩下的，交给运气——但别把运气当策略。