推荐做法
用纸笔按顺序逐词抄写，抄完当场核对两遍；放在防潮防火的物理位置，最好分两处存放；对高价值钱包，可升级为金属助记词板，防火灾与水浸。
安全教育：把钥匙管好，比什么都重要
自托管钱包的官方拿不到你的私钥，也意味着没有任何人能替你追回损失。下面四个专题，按风险发生频率从高到低排列。
专题一
如何备份助记词：合格标准只有一条
判断备份是否合格的标准很朴素——除了你本人，任何人都拿不到它，而你自己在任何情况下都能找到它。
务必避免
不截图、不拍照、不存云笔记与相册；不通过微信、邮箱、聊天工具发送给自己；不在任何网站或"备份工具"里输入助记词，包括看起来很像官方的页面。
三个真实的失误场景
失误一：抄写时漏词或顺序颠倒，当时钱包能正常使用，等到换设备才发现恢复失败，资产永久锁死。失误二：把助记词存在手机相册，手机送修或同步账号被盗后，资产被清空。失误三：备份只有一份且放在同一地点，遇到火灾、搬家遗失后，恢复能力归零。
备份之后必须做一次"恢复演练"
在一台干净的设备上（或卸载重装后）用助记词恢复钱包，核对地址与恢复前一致。演练的价值在于：让"备份是否有效"这个问题，在你还不需要用它的时候就有答案。
专题二
如何识别假冒钱包与钓鱼页面
山寨 App 与钓鱼网站的目标只有一个：让你亲手把助记词输进去。所以识别方法也围绕"输入口"展开。
看域名，而不是看页面好不好看
钓鱼站可以一比一复制界面。请逐字符核对域名，警惕在正规域名前后加词、替换字母（如把 i 换成 l）、使用奇怪后缀的做法。浏览器的锁形图标只代表加密传输，不代表站点可信。
看应用发布者，而不是看图标
在应用商店详情页确认发布者与应用标识与官方一致。山寨应用常在高仿图标上做细微改动，并用大量好评掩盖真实评价，建议优先查看低分评论。
看它在什么时机索要助记词
这是最有效的判据：正规钱包只在「创建钱包」和「导入钱包」两个环节要求你输入助记词，且一定在本地离线界面完成。任何以"验证身份""领取空投""解冻账户""升级安全等级"为由索要助记词的，一律是诈骗。
看是谁在联系你
官方不会主动私聊你，也不会建立"一对一客服群"。凡是主动加你、催你操作、要求你共享屏幕或远程协助的"客服"，都按诈骗处理。
专题三
恶意授权：最常见的"隐形漏洞"
很多被盗事件里，用户的助记词从未泄露，问题出在几个月前点下的一个"无限授权"。
授权是什么
在去中心化交易或质押时，你需要允许某个合约动用你指定代币的额度。授权本身是必要机制，问题在于授权的对象与额度是否合理。
为什么"无限授权"危险
一旦你授权了无限额度，该合约（或其被攻破后的控制者）可以在未来任意时间转走这部分代币，无需你再确认。你甚至不会收到通知。
定期做一次"授权清理"
用链上授权查询工具（如区块浏览器或主流授权管理服务）查看当前生效的授权列表，把不再使用、额度异常或来源陌生的授权逐个撤销。建议每季度做一次。
四条红线
来源不明的网站要求连接钱包；授权弹窗中额度显示为"无限"却无法修改；页面催促你"立即授权否则份额失效"；协议无法在区块浏览器上验证合约代码。任何一条出现，直接关闭页面。
专题四
地址投毒与转账防错
这类攻击不碰你的私钥，而是利用"复制粘贴"这个动作本身——它赌的是你没看完整个地址。
攻击是怎么发生的
攻击者向你的地址转入一笔极小金额，其发款地址与你常用地址的首尾字符高度相似。此后你从交易记录里复制地址时，很容易复制到那条伪造记录，钱就转给了攻击者。
四个防护习惯
转账对象优先用地址簿或二维码，不从交易记录里复制；复制后核对完整地址，至少比对首 6 位与末 6 位；首次向新地址转账先发最小金额；大额转账前用第二种渠道二次确认地址。
互动自检
钱包安全自检清单
勾选你已完成的项目。这份清单建议每季度重做一次，尤其是更换设备或参与过新协议之后。
0 / 8