钱包与安全：保管资产、识别骗局

在加密世界里，没有人能帮你把被盗的钱找回来。银行卡被盗刷可以申诉、冻结、追回；链上转账一旦确认，就永久生效。所以在学任何交易技巧之前，安全是第一课。

这篇按"钱包是什么 → 怎么保管 → 怎么用才安全 → 骗子怎么骗你 → 万一出事怎么办"的顺序讲，读完你应该能独立判断一个操作安不安全。

---

1. 钱包到底是什么

很多人以为钱包"装着"币。其实币永远在区块链上，钱包保管的是控制这些币的钥匙。

名词	是什么	能不能给别人
地址	一串以 0x 或其他字符开头的公开字符串，相当于收款账号	可以，收款时就要给
私钥	一串很长的密码，谁有它谁就能动用这个地址里的资产	绝对不能
助记词	12 或 24 个英文单词，可以还原出私钥，相当于私钥的"人类可读版"	绝对不能
钱包密码	只用来在这台设备上解锁钱包 App	不要给，但丢了可以用助记词恢复

记住一个关系：助记词 = 私钥 = 资产本身。谁拿到你的助记词，就等于拿到了你的钱，不需要你的手机，也不需要你的密码。

2. 托管和自托管

	交易所账户（托管）	自托管钱包
谁保管私钥	平台	你自己
忘记密码	可以通过实名找回	只能靠助记词，丢了就永远找不回
被冻结的可能	有，平台可以冻结、限制提现	没有人能冻结
平台倒闭的风险	有	没有
适合	日常交易、小额、新手刚起步	长期持有、链上操作（Meme、DeFi）

两者不是二选一。常见做法是：交易用的钱放交易所，长期持有和链上玩的钱放自己的钱包，大额长期资产放冷钱包。

3. 热钱包和冷钱包

热钱包：私钥保存在联网设备上，比如手机钱包 App、浏览器插件钱包。用起来方便，但设备中毒、点了钓鱼链接、装了恶意插件，都可能导致私钥被盗。

冷钱包（硬件钱包）：私钥保存在一个专门的离线设备里，永远不接触电脑和网络。每次交易都要在设备上按键确认，即使电脑中毒，黑客也拿不到私钥。

怎么选：

• 资产不多、经常操作 → 热钱包就够了，但只放"亏了也不心疼"的钱。
• 资产超过你几个月的收入 → 认真考虑买一个硬件钱包。
• 硬件钱包只从品牌官网或官方授权渠道购买，不要买二手，不要买来路不明的"便宜货"，收到后检查包装是否被拆过。

4. 助记词怎么保管

要做的：

• 创建钱包时，用笔抄在纸上，按顺序编号，核对两遍。
• 至少抄两份，放在两个不同的安全地方（比如家里的保险柜和另一处可靠的地方）。
• 金额大的话，可以考虑刻在金属板上，防火防水。
• 抄完后，用钱包的"验证助记词"功能确认没有抄错。

绝对不要做的：

• 不截图、不拍照。手机相册会自动同步到云端。
• 不存在备忘录、微信收藏、网盘、邮箱、聊天记录里。
• 不发给任何人，包括自称"客服""技术支持""项目方"的人。
• 不在任何网站上输入助记词。正规的 DApp 只会请求"连接钱包"和"签名"，永远不会让你输入助记词。

记住一句话：任何要你助记词的人、网站、App，100% 是骗子。没有例外。

5. 签名和授权：最容易被忽略的风险

用钱包和 DApp 交互时，你会遇到三种弹窗：

类型	意思	风险
连接钱包	让网站看到你的地址	低，只是读取
交易（Transaction）	转账、兑换、调用合约，会花 Gas	看清楚金额和接收方
授权（Approve）/ 签名（Sign）	允许某个合约动用你的代币，或者用你的私钥签一条消息	高。很多盗币就发生在这一步

授权是什么：在去中心化交易所兑换代币时，你要先授权交易所合约"可以使用你钱包里的某个代币"。很多 DApp 默认请求无限额度的授权。如果这个合约后来被黑，或者它本身就是骗局，攻击者可以随时把这个代币全部转走，不需要你再次确认。

签名钓鱼：一些钓鱼网站会让你签一条看起来无害的消息（比如"登录验证"），其实是一份离线授权，签完之后对方就能转走你的资产。

怎么防：

1. 看不懂的签名，一律拒绝。 尤其是弹窗里出现"Permit""SetApprovalForAll""无限额度"这些字眼时。
2. 授权时手动把额度改成这次需要的数量，而不是默认的无限。
3. 定期检查并撤销授权。用区块浏览器的授权检查功能或专门的授权管理工具，把不再使用的授权都撤销掉。
4. 链上操作用一个专门的"操作钱包"，里面只放这次要用的钱。大额资产放在另一个从不连接陌生网站的钱包里。

6. 每次转账前的检查清单

• 网络对不对：收款方支持的是哪条链？从交易所提币时选的网络必须和收款地址所在的链一致。
• 地址对不对：核对开头和结尾至少各 4–6 位。小心"地址投毒"（见下文）。
• 金额对不对：小数点、单位有没有看错。
• 第一次给新地址转账：先转最小金额，确认到账后再转剩下的。
• 有没有备注（Memo / Tag）：部分币种转到交易所时必须填写备注，漏填可能导致无法到账。

7. 最常见的十种骗局

1. 假客服 你在群里或社交媒体上提问，马上有"客服"私信你，说可以帮你处理。接下来会要你的助记词、让你转账"验证"、或者发一个"修复链接"。真正的客服不会主动私信你。

2. 钓鱼网站 和官网长得一模一样，网址只差一个字母，常常通过搜索广告、群消息、私信传播。常用平台一律用书签或官方 App 打开，不点别人发来的链接。

3. 假空投 钱包里突然多了一个陌生代币，附带一个"领取奖励"的网址。点进去连接钱包、签名，资产就没了。陌生空投不要碰，不要尝试卖出，不要去它指定的网站。

4. 地址投毒 骗子给你转一笔 0 金额或很小金额的交易，用的地址和你常用的地址开头结尾一模一样。你下次复制地址时，如果从交易记录里复制，就可能复制到骗子的地址。永远从地址簿或原始来源复制地址，不从历史记录里复制。

5. 赠品骗局 "转给我 1 个 ETH，我返你 2 个"，常常冒充名人、项目方或交易所。没有任何人会白白给你钱。

6. 杀猪盘 在社交软件、交友软件上认识的"朋友"，聊了一段时间后带你去一个"内部平台"投资，前几次能赚钱也能提现，等你投入大笔钱后，平台就提不了币了。任何不是你自己找到的、主流的平台，都不要入金。

7. 带单、喊单群 "老师"每天发几单赚钱截图，收会员费带你赚钱。截图可以造假，赚钱的人也不需要你的会员费。

8. 假 App、假插件 在非官方渠道下载的钱包 App 或浏览器插件，内置了窃取助记词的代码。只从官网或官方应用商店下载，安装前核对开发者名称。

9. 貔貅盘和跑路盘 链上的新代币，只能买不能卖，或者开发者买入后撤走流动性。见 Meme 币 的风险部分。

10. 社交媒体被盗号 知名人士或项目的官方账号被盗后，发布"限时活动""紧急迁移"等消息。越紧急、越诱人，越要停下来，去其他官方渠道核实。

8. 账号和设备的基础安全

• 每个账户用不同的强密码，用密码管理器保存。
• 开启两步验证（2FA），优先用验证器 App 或硬件安全密钥，不要只用短信（手机号可能被人补卡劫持）。
• 交易所设置防钓鱼码和提币白名单，提币只能发到你提前登记的地址。
• 邮箱是一切的总钥匙，给邮箱也开两步验证。
• 少装浏览器插件，不用的就卸载。专门用一个浏览器做加密操作。
• 系统和钱包 App 保持更新。
• 不在公共 Wi-Fi 下进行大额操作。

9. 万一被盗了怎么办

1. 立刻停止使用这个钱包。私钥或助记词泄露后，这个地址就不再安全了，即使里面还有剩余资产。
2. 新建一个钱包（在一台干净的设备上，用新的助记词），把还没被转走的资产尽快转过去。
3. 撤销所有授权，防止剩余代币被继续转走。
4. 如果是交易所账户被盗，马上联系官方客服（从官方 App 里联系）冻结账户。
5. 保留证据：被盗的交易哈希、对方地址、聊天记录、网址截图，然后向当地警方报案。
6. 警惕"追回资金"的二次诈骗。被盗后很快会有人联系你，说能帮你追回，先收一笔费用。这也是骗局。

10. 新手安全自查清单

• 助记词手抄在纸上，至少两份，放在不同地方，从没拍过照
• 所有交易所和邮箱都开了两步验证（验证器 App）
• 交易所设置了防钓鱼码和提币白名单
• 常用平台都通过书签打开
• 大额资产和日常操作的钱包是分开的
• 最近检查并撤销过不用的授权
• 知道"任何人要助记词都是骗子"

继续学习

• 第一次链上操作

本页只做安全科普，不推荐任何具体产品。遇到可疑情况，先停下来，宁可错过也不要冒险。