自检清单
加密钱包安全自检清单：30 项逐条核对
30 项分六组。做到的勾掉，没勾的就是接下来该补的。页末有四段说明，讲助记词、授权、转错链和泄露这四处为什么要紧。
Ⅰ
私钥与助记词
5 项我清楚知道"私钥"和"助记词"的区别。不清楚就先读《私钥和助记词是什么关系》一文
我的助记词从未输入过任何联网设备的"在线生成器"网页里。
我的助记词没有拍照、没有存网盘、没有存 iCloud / Google Photos。
金额到了丢不起的程度，我的助记词至少有一份金属备份（钢板 / 金属胶囊）。金额还小的，纸抄两份分两处放，这一项可以先不勾
我的助记词备份分别存在 ≥ 2 个不同物理地点，防火灾水浸。
Ⅱ
钱包架构
5 项我有冷热分仓：日常交易用热钱包，长期持仓用冷钱包。
持有金额到了丢不起的程度，我已经把长期不动的那部分放进硬件钱包。金额还小、丢了也承受得起的，这一项可以先不勾
我的硬件钱包是从官方店铺直接购买，不是闲鱼 / 二手平台。
我的硬件钱包到货后做了完整重置，自己生成新助记词，没用包装里的"现成助记词"。
我验证过备份能恢复：用设备自带的备份检查功能，或把这台设备重置后恢复过一次。硬件钱包的助记词不输进手机和电脑；Trezor Model One 按设备屏幕的提示操作
Ⅲ
交易所账户
5 项我知道我的主要交易所有没有定期发储备金证明（PoR）。
长期不动的币我没有一直放在中心化交易所里，交易所只留近期要用的部分。
我的交易所账户开了验证器、通行密钥（Passkey）或硬件密钥，没有只靠短信验证码。
我的交易所账户开了提币地址白名单。
我转账前会逐位核对完整的收款地址、确认选对了网络，大额先转一笔小额，到账后再转其余的。
Ⅳ
防钓鱼与防骗
5 项我从来不点 Telegram / X / Discord 里陌生人发来的"客服"或"空投"链接。
我对每一个授权（approve / setApprovalForAll）都会看清楚 spender 地址。
我定期（例如每月一次）用 Revoke.cash 检查并撤销不再需要的授权。
我对所有"链下签名"（EIP-712 / Permit）保持高度警觉，看清楚再签。
我知道短信验证码能被 SIM 换卡绕过，能关就关，改用验证器或通行密钥。交易所要求保留短信的，按其官方说明
Ⅴ
应急与处置
5 项我知道发现钱包异常后第一步做什么：先分清是助记词 / 私钥泄露，还是只签了恶意授权。
我知道助记词泄露后要在干净设备上新建钱包，把资产转到新地址，而不是继续用旧钱包。
我知道泄露后资产按什么顺序转走：一笔转账就能转走的先动，要多步操作的往后排。
我知道被骗后去哪里报案，也存着所用交易所的官方客服入口，不用临时去搜。
被骗之后有人主动找上门说能"代追回"，要先付费或要助记词的，我不会理。这是针对受害者的二次诈骗
Ⅵ
遗产与长期
5 项我至少跟一位信任的家人 / 朋友说过我有加密资产，并留下"我出事时如何获取"的指引。
我考虑过用 Shamir 分片或多签让备份不完全依赖一个人 / 一个地点。
我每三个月做一次"全资产清单"复盘，知道当前实际有多少、在哪里。
我知道当地对加密资产继承的法律状态（中国大陆 / 香港 / 美国等）。
我的钱包架构能让我"5 年后回来还能记起怎么用"，没有过度复杂。
还差几项
勾选每一项你已经做到的，会实时更新勾选数。
这四处为什么要紧
助记词为什么不能进联网设备。助记词能推出钱包里的全部私钥，谁拿到谁就能把币转走。截图、云相册同步、聊天记录，都会把它留在你管不到的地方。备份放在离线介质上，纸和金属板各防什么、防不了什么，见《助记词怎么保存才安全？》。
授权为什么要定期查。代币授权不会自己过期。授权过的合约出了问题，对应的代币可能被转走，所以不再用的授权要撤掉。查法和撤法见《代币授权怎么查、怎么撤销》。
转错链之后还能不能找回。USDT 在不同链上是不同的合约。转错之后的结果，要看收款方是交易所还是自己的钱包、错的是链还是地址，几种情形的处理见《USDT 转错链能追回吗？》。
怀疑助记词或私钥泄露。先分清是助记词 / 私钥已经泄露，还是只签了恶意授权。前者要在干净设备上新建钱包、把资产转走，撤销授权没有用；后者撤销授权就能止住。判断方法和转移顺序见《私钥或助记词泄露了怎么办？》。
这份清单覆盖不了所有疏漏，全部勾完也不代表不会出事。