钱包用错三年，我踩过的7个坑和你的避雷清单 - Trust Wallet教程指南

我第一个钱包是2019年下的MetaMask，助记词截图存在手机相册里。三个月后手机丢了，里面只有0.3个ETH，但那感觉像把家门钥匙和身份证一起扔大街上。后来我帮人追过被盗资产、见过把私钥发微信群的、也遇到过Gas费设错白烧200U的。钱包这东西，出问题基本不是技术漏洞，是操作习惯。

助记词：别用截图和云笔记

助记词是钱包的唯一根凭证。12个单词，谁拿到谁就是主人。

我见过最离谱的操作是有人把助记词存进微信收藏，还设了标签“钱包密码”。微信被盗那天，钱包跟着空了。还有人截图存iCloud，结果Apple ID被钓鱼，黑客直接从相册翻到助记词。

正确做法是用纸笔抄两遍，分开放在两个物理位置。嫌纸容易丢就用钢制助记词板，几十块钱的东西，防火防水。别拍照、别存云、别发给自己。

有个细节很多人忽略：抄完要核对。Ledger官方数据说，约15%的用户在首次备份时至少抄错一个单词。抄错一个词，恢复出来的就是另一个空钱包，等你转币进去才发现进不去。

链上转账不可逆。地址错一个字符，钱就进了黑洞。

2023年有个真实案例：某用户转USDC，从交易所提币到钱包，复制地址时剪贴板被恶意软件替换，2.8万U打进了一个外观相似的地址。这种攻击叫剪贴板劫持，恶意程序监控你复制的地址，瞬间替换成攻击者的。

操作习惯改成这样：粘贴地址后，核对前4位和后4位。大额转账先发一笔最小单位（比如1U）测试，确认到账再发全款。多花几毛钱Gas，买个安心。

以太坊Gas费波动极大。2021年牛市高峰，一笔普通转账要0.05 ETH，折合200美元。有人在Gas 300 gwei时转了个NFT，手续费比NFT本身还贵。

现在有EIP-1559，钱包会显示“低/中/高”三档。老实说，不急就走低档，等几分钟的事。急的话看一眼etherscan.io/gastracker，选个合理区间。

有个坑：MetaMask的“高级Gas设置”里，如果你手动把Gas Limit调太低，交易会失败但手续费照扣。普通ETH转账Gas Limit是21000，别动它。ERC-20代币转账大概45000-65000，钱包一般会自动估算。手动改低省不了几个钱，失败一次全赔进去。

USDT不只在以太坊上。TRC-20、ERC-20、BEP-20，长得一样，链不同。

最常见的翻车场景：从交易所提USDT，选了TRC-20（波场链），但钱包里只加了ERC-20网络。钱到了波场链上，你在MetaMask里看不见，以为丢了。其实资产还在，导入对应的波场钱包就能找回。但如果你把ERC-20的USDT直接转到交易所的TRC-20地址，那就真没了。

操作步骤：提币前确认交易所支持的链，钱包里提前添加对应网络。MetaMask加BSC网络需要手动填RPC，chainlist.org搜一下，点“Add to MetaMask”自动填好，别自己瞎填。

DeFi交互时，合约会请求“无限授权”（unlimited approval）。意思是这个合约可以随时转走你该币种的全部余额。

2022年有个DeFi协议被攻破，攻击者利用用户之前给的无限授权，批量转走了价值约1.8亿美元的代币。受害者什么都没做错，只是半年前点过一次“Approve”。

每隔一两个月去revoke.cash查一下授权列表，把不用的取消掉。每次取消花几U Gas，比被卷走强。新项目交互时，如果钱包弹窗允许你改授权额度，改成实际需要的数量，别偷懒点“无限”。

Ledger和Trezor确实更安全，但前提是用对。

我见过有人买了Ledger，助记词还是存手机里。硬件钱包的意义是私钥不触网，助记词泄露等于白买。

还有个误区：从官网买。亚马逊和闲鱼上的二手硬件钱包有被预置助记词的风险，攻击者提前生成助记词、打印好卡片放盒子里，你激活后用的其实是他的助记词，资产随时被转走。Ledger官方2023年披露过这类供应链攻击案例。只从官网下单，拆封后初始化时自己生成新助记词，别用设备里预置的。

钱包弹窗签名请求时，大部分人直接点“确认”。

有一种攻击叫“Permit签名”，弹窗看起来只是登录，实际上授权了代币转移。2023年某NFT项目Discord被黑，钓鱼链接发的就是这种签名，单笔损失最高到50 ETH。

习惯改成这样：签名前看一眼请求类型。“Sign”通常是登录，“Approve”是授权转账，“Permit”要特别警惕。不认识的网站、没交互过的合约，直接关掉。钱包不是浏览器，别什么弹窗都点确认。

说到底，钱包安全99%靠操作习惯。工具再好在，手贱一次全归零。