钱包教程：从链上数据看，90%的人第一步就选错了
我扒了三个月的链上数据，发现一个挺反直觉的事：大多数用户丢币，不是因为私钥泄露，而是因为钱包选错了类型，或者助记词存错了地方。Dune Analytics 上有个看板统计了 2023 年到 2024 年初的公开被盗事件，损失在 1000 美元以下的小额案例里，超过六成和“钱包使用姿势”有关，跟智能合约漏洞关系不大。说白了，工具没问题，是人用错了。
先搞清楚你要的是“仓库”还是“口袋”
钱包分两大类：托管和非托管。托管钱包像交易所账户，私钥不在你手里。非托管钱包私钥归你，丢了没人赔。2024 年 1 月比特币现货 ETF 通过后，大量新用户涌入，Coinbase 和 Binance 的新注册量单周涨了 30% 以上。很多人图省事，把币全放交易所。讲真，小额频繁交易放交易所没问题，但超过 6 个月不动的仓位，老实说，该挪到自托管钱包。
这里有个坑：非托管钱包又分热钱包和冷钱包。热钱包联网，方便但攻击面大。冷钱包离线，安全但操作繁琐。我的建议是“三七开”——三成资产放热钱包做日常交互，七成放冷钱包或硬件钱包长期持有。别嫌麻烦，2022 年 FTX 暴雷那会儿，把币放链上自托管的人，一分钱没损失。
助记词：别截图，别存微信收藏
我见过最离谱的操作：有人把 12 个助记词单词截图，存在手机相册的“隐藏文件夹”里。手机一丢，全完。还有人把助记词发到自己的微信文件传输助手，觉得“只有自己能看见”。微信服务器被攻破的概率低，但你的账号被盗的概率不低。
正确做法只有一条：手写在纸上，或者用钢制助记词板。分两处存放，别放同一个抽屉。如果你用的是 Ledger 或 Trezor 这类硬件钱包，助记词只在初始化时出现一次，抄完就再也别在电子设备上输入。有个真实案例：2023 年 11 月，一个用户因为把助记词存进 Notion 笔记，被钓鱼链接偷走权限，损失了 47 个 ETH。Notion 本身没问题，问题是他点了一个伪造的“空投领取”页面，授权了钱包。
实操：从零创建一个自托管钱包
以 MetaMask 为例，步骤不复杂，但每一步都有细节。
第一步，去官网 metamask.io 下载。别在搜索引擎里点广告链接，2023 年 Google Ads 上出现过大量伪造的 MetaMask 下载页。认准域名，浏览器插件商店的开发者信息也要核对。
第二步，创建新钱包，设置密码。这个密码只用于解锁本地插件，不是助记词。很多人搞混，以为密码就是全部，结果重装浏览器后以为资产没了。其实用助记词就能恢复。
第三步，抄助记词。12 个英文单词，按顺序抄。抄完点“确认”，系统会让你按顺序点选单词验证。别跳过这步。
第四步，添加网络。MetaMask 默认只显示以太坊主网。你要玩 Arbitrum 或 Polygon，得手动加 RPC。chainlist.org 可以查所有 EVM 链的 RPC 地址和 Chain ID。别从随便一个博客抄 RPC，有恶意 RPC 会记录你的交易意图。
第五步，先转小额测试。新钱包建好后，先转 10 美元的 ETH 进去，确认收发正常，再转大额。我见过有人第一次就转 5 万美元的 USDC，结果地址复制错了一位，永久丢失。
硬件钱包不是万能药，但能挡住 80% 的坑
Ledger 和 Trezor 的销量在 2023 年第四季度创了新高，Ledger 单季度卖了超过 100 万台。但硬件钱包的使用也有误区。有人买了 Ledger，助记词还是拍照存手机，那等于白买。硬件钱包的核心价值是私钥永远不触网，交易签名在设备内完成。你的助记词只在初始化时出现，之后每次交易都要在设备上按物理按钮确认。
还有个细节：买硬件钱包一定从官网买。亚马逊上的第三方卖家出过“预初始化”骗局——设备到手时已经生成好助记词，附一张纸让你“按这个抄”。你一抄，私钥就是别人的了。收到设备后，第一件事是恢复出厂设置，自己重新生成助记词。
多签钱包：大额资产的终极方案
如果你持有超过 10 万美元的加密资产，单签钱包的风险已经不太划算。多签钱包（比如 Safe，原 Gnosis Safe）要求 M-of-N 个签名才能动资金。比如 2-of-3：三个设备各持一个私钥，任意两个签名才能转账。一个设备丢了，另外两个还能恢复。一个设备被偷，小偷也动不了钱。
Safe 上锁定的资产在 2024 年初超过 800 亿美元，DeFi 协议和 DAO 金库基本都用它。个人用户配置 2-of-3 多签，成本不高，Safe 在以太坊主网部署一个多签钱包的 gas 费大约 20 到 40 美元。花这点钱换来的安全感，比买保险实在。
说到这，你可能会问：那热钱包里的三成资产怎么管？我的做法是分两个热钱包。一个只连常用 DApp，另一个只做转账中转，不连任何陌生网站。每次交互前，用 revoke.cash 检查授权，把不用的 approve 撤掉。2024 年 2 月，一个 DeFi 老用户因为两年前授权过一个已经跑路的协议，被恶意合约转走了钱包里所有 USDT。授权不撤，等于把钥匙留在旧门上。
钱包这事，没有一劳永逸的方案。工具在变，攻击手法也在变。但核心逻辑没变过：私钥自己拿，助记词离线存，大额多签，小额分散，授权定期清。做到这五条，你已经比 90% 的人稳了。