钱包安全与账户保护

助记词只应由你自己掌握

助记词通常可以恢复对应钱包账户，是最重要的敏感信息之一。建议在创建钱包时立即进行离线备份，并准确记录词语顺序。不要截图，不要上传网盘，不要保存在聊天软件、邮箱、在线文档或浏览器密码管理表单中。如果准备多个备份，应避免全部放在同一地点，以降低单点丢失或损坏风险。

私钥与设备环境

私钥应只保存在受控环境中。尽量使用自己长期管理、系统更新正常且没有可疑软件的设备。安装来源不明的应用、浏览器扩展、输入法或远程控制工具可能增加密钥泄露风险。若设备出现异常弹窗、鼠标被远程控制、剪贴板地址被替换或安全设置被修改，应停止钱包操作。

识别钓鱼网站

钓鱼站点常通过相似域名、搜索广告、群聊私信、虚假客服或“领取奖励”页面诱导用户连接钱包。进入站点后应先核对域名拼写、证书和访问来源。任何网站要求输入助记词、私钥或上传密钥文件，都不属于正常的钱包连接流程。看到紧迫倒计时、异常收益承诺或要求先转账的提示时，更应提高警惕。

DApp 授权不等于普通登录

连接钱包通常只暴露公开地址，但代币授权和合约签名可能赋予第三方更大权限。确认前要看清具体代币、合约地址、额度和网络。对于与当前操作无关的无限额度授权、批量授权或不明 Permit 签名，不要因为界面显示“登录”就直接确认。

定期检查与取消授权

长期不用的合约授权应定期检查。如果确定不再使用，可通过对应网络可信的授权管理工具发起取消交易。取消授权会消耗网络手续费，也不能撤回已经完成的历史转账。第三方工具本身也需要核实来源，避免在所谓“授权清理”网站再次签署恶意请求。

转账前的四次核对

1. 确认发送网络和接收网络一致。
2. 确认接收地址前后字符与对方提供的信息一致。
3. 确认资产类型、金额和手续费符合预期。
4. 对新地址或高风险场景先进行小额测试。

链上资产转出后通常无法由钱包单方面撤回，也不存在客服“后台撤销”已确认交易的常规机制。因此不要在陌生人催促、远程指导或屏幕共享状态下完成转账。

公共电脑和公共网络

公共电脑可能安装键盘记录、屏幕监控或恶意扩展，不适合输入敏感信息或管理重要资产。公共 Wi-Fi 也可能增加网络劫持风险。若只是查看公开链上数据，可以使用区块浏览器；需要签名或发送交易时，优先使用自己掌控的可信设备和网络环境。

防骗常见场景

• 冒充官方客服，称账户异常并索取助记词。
• 声称可以帮忙追回资产，要求先支付保证金或把资产转到“安全地址”。
• 通过假空投、假补偿诱导连接钱包并签署高额度授权。
• 使用远程控制软件“指导操作”，实际读取屏幕、剪贴板或验证码。
• 发送与官方域名非常相似的钓鱼链接，诱导输入密钥。

如果已经怀疑密钥泄露

一旦怀疑助记词或私钥已经泄露，应优先停止在原账户继续存入资产，并在安全设备和可信环境中评估是否需要将仍可控制的资产转移到新生成、从未泄露过密钥的钱包。操作时不要接受陌生人的远程协助，也不要向声称能“冻结链上资产”的第三方发送费用。