上个月朋友阿哲在社群里发了张截图，钱包里价值两万多的USDT没了，余额显示零。他的助记词来自某个所谓的“TokenPocket钱包新手教程”页面，照着模板复制粘贴。随后又在一个钓鱼站点里手输了那十二个单词。整个过程不到十分钟。这类事我见过太多回了。多数人搜TokenPocket钱包新手教程。
想看的是怎么创建钱包、怎么转账、怎么加币种呢？可真正决定资产安不安全的东西，教程一般一笔带过了。助记词不是密码，它没有找回入口，谁拿到谁就是钱包主人啊？
我自己的做法很土，写在纸上，抄两份。放在两个不同的物理位置。手机相册、微信收藏、云笔记、“先存备忘录里回头再说”是地方一个都不能碰。截图会自动同步，同步就意味着有一份数据躺在别人的服务器上等着被翻。下载渠道是另一个重灾区。安卓上搜应用商店的，能翻出好几个图标几乎一模一样的冒牌货吧？装上去照样能建钱包、照样能收款。
等你充了币才发现提不出来。这点在多数教程里很少被强调了，它其实是第一道门槛，只用官网或官方分发的链接，装完核对一次开发人员签名了。
装好之后还有一层是网络。同样是USDT，以太坊上是ERC20，波场上叫TRC20的，BSC上又是BEP20，转错链，币不会凭空消失，要费一堆操作才可能捞回来，有时候干脆捞不回来。我的建议一直是先转一笔最小的金额试水，几块钱手续费换一个确定吧？不亏。还有个容易忽略的动作，授权管理。DeFi、空投、打新了，很多页面会要求你点一下Approve，签一次名。就等于把某个代币的支配权限交给了对方合约。有人半年后才发现余额被某个不认识的地址一点点划走。
定期打开钱包里的授权查询，把陌生的、额度显示无限的统统撤销是这个习惯比记住多少个快捷键都值钱啊？私钥和助记词同理，任何网站、任何客服、任何自称官方的人来要，都是骗子。
没有例外。
TokenPocket钱包新手教程真正该教的就是一种默认不信任的思维方式，先小额、先核实、先备份的。工具本身已经够成熟，翻车的几乎都是使用它的人吧？把这几件事练成肌肉记忆吧？剩下的功能边用边摸就会了。
