这一页回答自己保管加密资产时会碰到的具体问题：助记词出了状况怎么办，备份放哪，硬件钱包怎么买怎么用，授权和签名怎么看，交易所账户怎么设。答案里的数字和规则以所链的原文为准，核对于 2026 年 10 月。
助记词与私钥
助记词丢了一两个单词能恢复吗？
有机会，前提是其余单词和顺序都确定，并且你还记得这个钱包的一个收款地址。按 BIP-39，词表共 2048 个词，12 词助记词带 4 位校验：缺一个词、知道缺在第几位，要试 2048 个候选，能通过校验的约 128 个；缺两个词约 419 万种组合，能通过校验的约 26 万个。这个数量靠手动逐个导入试不完，要用开源工具 btcrecover 的 seedrecover.py，它用你提供的收款地址或扩展公钥自动比对。只在不联网的电脑上运行；残缺的助记词不要输入任何网页，也不要发给自称能代为恢复的人。校验位的原理见《私钥和助记词是什么关系》里讲 BIP-39 的一节。
助记词记错顺序了能找回吗？
12 个词都确定、只是顺序乱了，数量上还有得试。12 个词的排列约 4.79 亿种，能通过校验的约十六分之一，也就是三千万种左右，手动试不完，要让程序逐个和你记得的地址比对。前提是这 12 个词一个不多、一个不少、一个没拼错。24 个词全部乱序，排列数大到跑不完，除非你还记得大致的分组。这类尝试同样只在不联网的设备上做，见《私钥和助记词是什么关系》里「单词的顺序能不能乱」一段。
助记词可以用中文吗？
标准里有中文词表，但不建议用。BIP-39 原文写明：绝大多数 BIP-39 钱包只支持英文词表，强烈不建议用非英文词表生成助记词。各语言的词表互相独立，中文助记词不能逐词换成英文，拿到只认英文词表的钱包里导不进去。已经用中文助记词建了钱包又想换，办法是新建一个英文助记词的钱包，把资产转过去。
12 词和 24 词哪个更安全？
按 BIP-39，12 个词对应 128 比特随机熵，24 个词对应 256 比特，数字上 24 词更大。但 128 比特已经不是靠穷举猜得出来的量级，对个人来说两种都够用。拉开差距的是备份：抄错、丢失、被人看到，这些风险和词数无关，词越多，抄写出错的机会反而越多。钱包给的是 12 词还是 24 词，照用就行，把力气花在备份上，见《助记词怎么保存才安全》。
同一个助记词可以导入不同钱包吗？
两款钱包都按 BIP-39 生成种子、按同一条派生路径算地址，就可以，导入后看到的是同一批地址。导入成功却看不到余额，多半是两边的派生路径不同，或者新钱包里没添加资产所在的那条链，不等于助记词被盗；先去高级设置里找派生路径选项，或查原钱包官方文档写的路径。导入之后两个钱包控制的是同一批私钥，哪一边泄露都算泄露。助记词只输入从官方渠道下载的钱包 App，不输入任何网页。路径为什么会不同，见《私钥和助记词是什么关系》里「换钱包后地址为什么对不上」一节。
忘了 passphrase（第 25 个词）还能找回吗？
没有重置或找回的入口。按 BIP-39，passphrase 参与种子的计算，任何 passphrase 都对应一个有效的钱包，输错了钱包不会报错，只会打开一个空钱包。Trezor 的官方说明写得很直接：passphrase 不能更改、移除或恢复，设备不保存它，丢了它就丢了对应钱包里的资金。还记得大致内容的话，可以在自己的设备上逐个试可能的写法，大小写、空格、标点都算，每试一个就看第一个收款地址对不对得上。声称能代为找回、要你先付费或交出助记词的，不要理会。用了 passphrase 就要像助记词一样写下来备份，并且和助记词分开放，见《助记词怎么保存才安全》里 Passphrase 一节。
备份放哪
私钥或助记词可以打印出来吗？
不建议。要打印，私钥或助记词得先以明文出现在一台电脑上，这台电脑只要联着网，它就已经算暴露过：剪贴板、临时文件、打印队列都可能留下副本。打印机这一侧也一样，联网的打印机、带存储的一体机会不会留存打印内容，你无从确认。要纸质备份就手抄：照着钱包设备的屏幕抄到纸上，逐词核对。纸质备份怎么放，见《助记词怎么保存才安全》里讲纸的一节。
助记词可以几个人共用一份吗？
不建议。一组完整的助记词就是全部控制权，每多一个人持有，就多一个能单独把币全部转走的人，也多一个被骗、被偷、被胁迫的口子，出了事还分不清是谁动的。把助记词手工拆成两半分给两个人也不是办法：任何一半丢了，就恢复不出来。想让几个人共同保管，用为此设计的方案：SLIP-39 分片备份，凑够约定的份数才能恢复；或者多签，一笔交易要几把钥匙里的几把共同签名。两种方案分别见《助记词怎么保存才安全》里的分片一节和多签一节。
助记词加密压缩后存网盘安全吗？
比明文存网盘强，但我不建议把它当备份。压缩包的强度取决于你设的口令：文件一旦被人从网盘下载走，对方可以离线反复尝试，网盘的登录限制管不到这一步，短口令、带生日和常用词的口令撑不住。另一个问题是你总要解压出来用，只要是在联网的设备上解压，明文助记词就进了这台设备。助记词的备份放在纸或金属这类离线介质上，见《助记词怎么保存才安全》里讲拍照和网盘的一节。
iCloud 备份的钱包数据安全吗？
先分清两样东西。一是手机的整机 iCloud 云备份：按 Apple 的说明，默认的标准数据保护下，云备份的密钥保存在 Apple 的数据中心，Apple 可以解密；手动开启高级数据保护之后，云备份才是端到端加密。二是 iCloud 钥匙串里的密码，这一类在两种设置下都是端到端加密。不管哪一种，云上数据的安全都和你的 Apple 账户绑在一起。所以助记词不存备忘录、相册、钥匙串和任何云盘；钱包 App 的数据会不会进整机备份，以该钱包官方的说明为准。
家人用我的电脑会偷到我的助记词吗？
要防的多半不是家人本人，而是共用带来的入口：别人在这台电脑上装的破解软件、游戏外挂、来路不明的清理工具和浏览器扩展，和你的钱包跑在同一个系统里，读得到剪贴板和键盘输入。开机密码管不了这个，它只拦没登录的人。做法是不在共用的电脑上放钱包：钱包单独用一台设备，助记词不以任何数字形式存在电脑里。金额到了丢不起的程度，把私钥放进硬件钱包，电脑只当界面用，见《冷钱包和热钱包的区别》。
硬件钱包
硬件钱包必须买吗？
不是必须，看金额和用法。软件钱包的私钥存在联网的手机或电脑上，设备中了恶意软件，私钥可能被直接读走；硬件钱包的私钥留在设备里，每笔交易要在设备上确认。我的建议是持有金额到了丢不起的程度再买，在那之前先把助记词备份做扎实。买了也不是一劳永逸：助记词照样要保管，签名前照样要看清设备屏幕上的内容。型号怎么挑见《硬件钱包对比表》，冷热怎么分见《冷钱包和热钱包的区别》。
二手硬件钱包能买吗？
不要买，来路不明的「全新未拆封」也一样。风险在于设备可能被人动过：卡巴斯基 2023 年 5 月分析过一台从分类信息网站买到的假 Trezor Model T，固件被改过，所谓随机生成的助记词其实是固件里预存的 20 组之一，掌握这些助记词的人随时可以把存进去的币转走。同一篇分析给的建议是：只从官方销售渠道购买，新设备使用前先恢复出厂设置。另外，包装里如果附带一组现成的助记词，这台设备不要用。
硬件钱包用了一年要不要换？
不用按年换。该考虑换的是这几种情况：厂商不再给这个型号推送固件更新，设备本身坏了，或者你要用的链和功能它不支持。换设备一般不用把币转一遍，在新设备上用原来的备份恢复，地址不变；怀疑助记词已经泄露时，才需要新建一组助记词把资产转过去。平时该做的是从官方入口升级固件，升级前确认备份在手边。换品牌恢复的步骤见《硬件钱包停产或厂商倒闭了，币还在吗？》，升级前的准备见《硬件钱包提示固件升级》。
家里被偷了硬件钱包，钱会丢吗？
只丢了设备、助记词备份没有一起丢，币通常还来得及转走，但别当成没事。设备有 PIN 保护，连续输错到上限会自动清空，上限和抗物理攻击的能力都分型号：Trezor 官方写明 Model One 和 Model T 不带安全芯片，建议用长而随机的 PIN 来加强对物理攻击的抵抗。所以失窃后尽快用助记词在另一台设备上恢复，把资产转到一组新助记词下的地址。各型号输错几次清空、失窃后按什么顺序处理，见单页《家里被偷了硬件钱包，钱会丢吗？》。
硬件钱包 PIN 码忘了怎么办？
Ledger 第三次输错就重置，Trezor 按型号 10 到 16 次，OneKey 看型号是第 10 次或第 5 次。忘了 PIN 先别乱猜，找齐助记词备份，清空后恢复钱包时再设一个新 PIN。详见单页《忘了硬件钱包 PIN 码先去找助记词备份》。
软件钱包日常
钱包密码忘了怎么办？
助记词还在就没事。自托管钱包的解锁密码只用来加密存在这台设备上的钱包数据，不在链上，钱包厂商也不保存它，所以没有客服能替你重置；删掉钱包重装，用助记词导入，再设一个新密码，地址和资产都不变。助记词也没有了，就没有别的找回途径。自称能帮你重置钱包密码、找回钱包的，按骗局对待；网上搜来的密码恢复软件，来路不明的不要装。用助记词恢复的步骤见《换了新手机，钱包怎么恢复到新设备上》。
我的钱包地址会被别人监控吗？
地址上的余额和每一笔进出本来就是公开的，任何人在区块浏览器里输入地址都能看到，不需要特殊权限。看得到一个地址的活动，不等于知道它是谁的；把两者对上的，通常是你自己留下的线索：从实名的交易所提币到这个地址，公开贴过带地址的截图，域名和社交账号用了同一个名字。想少暴露，建议把日常交互的地址和长期存放的地址分开，不晒带地址或余额的截图。被人看到地址不会让币丢，要防的是对方据此找上门来的定向钓鱼。
iOS 还是 Android 上用钱包更安全？
差别主要在怎么装、怎么用，不在牌子。两边都要守住的几条：钱包 App 只从官方应用商店或钱包官网给出的链接安装，不装别人发来的安装包；不越狱、不 root；系统和 App 保持更新；不给来路不明的 App 开辅助功能这类高权限。不管哪个系统，手机钱包的私钥都在一台联网的设备上，属于热钱包，里面只放丢了也不影响生活的数，见《冷钱包和热钱包的区别》。
多链账户怎么管理才不乱？
建议按用途分，不按链分。同一组助记词在各条 EVM 链上是同一个地址，按链各开一个钱包并没有把风险隔开。更有用的分法是：一个地址专门连 DApp、签授权，只放小额；主要资产放在另一组助记词下、从不连任何 DApp 的地址里。这样日常交互的地址签错了授权，损失的上限就是里面那点钱。授权是按链分开记的，用过几条链，检查授权时就要查几条链，见《代币授权怎么查、怎么撤销》里「平时怎么少留授权」一节。
公共 WiFi 用钱包安全吗？
钱包 App 和交易所网站走的都是加密连接，同一个 WiFi 里的其他人一般看不到传输的内容。要当心的是仿冒热点：有人架一个名字和店家一样的 WiFi，把你要去的网站引到假页面，或者弹出一个要你输入邮箱和密码的登录页。所以在外面操作时，浏览器提示证书有问题就不要继续；域名自己逐个字符核对，不靠地址栏的小锁判断真假；不在 WiFi 登录页里填任何账户的密码。涉及转账、登录交易所这类操作，改用手机流量更稳妥。
钱包里突然多了陌生 token 是什么？
那是别人主动转到你地址上的：往任何地址转代币都不需要对方同意。它出现在列表里不会造成损失，损失出在后面的动作：去代币名字里写的网站「领取」「兑换」，在那里给真 USDT、真 USDC 签授权，或者输入助记词。处理办法是不碰它：不点链接、不兑换、不转出，嫌碍眼就在钱包里隐藏。相近的另一种手法是地址投毒：一笔零金额转账，为的是把一个首尾和你常用地址相同的假地址塞进交易记录，等你下次从记录里复制。两种手法怎么分、各自怎么防，见单页《钱包里突然多了陌生 token 是什么？》。
授权与签名
连了一个钓鱼 dApp 但没签名，会出事吗？
只点了连接、之后弹出的请求一个都没确认，对方拿到的只是你的地址，地址本来就是公开的，动不了资产。要动你的币，得有你亲手确认的一笔交易或一条签名，包括不花 gas 的链下签名（Permit 这一类），所以判断标准是有没有在钱包弹窗里点过确认，不是有没有付过 gas。在那个页面输入过助记词的，按泄露处理。稳妥起见，在钱包里断开和这个网站的连接，再到授权检查工具里看一眼最近有没有多出授权；断开连接本身不会撤销任何授权。步骤见《MetaMask 安全设置怎么调》里断开连接一节和《代币授权怎么查、怎么撤销》。
钱包授权会自己过期或自动撤销吗？
不会。ethereum.org 的撤销授权指南写明，代币授权不会过期：给出去的额度一直有效，直到你发一笔交易把它改成 0，和你后来还去不去那个网站、地址里当时有没有余额都无关。例外是经 Permit2 分给具体应用的那一层额度，带到期时间，到期自动失效。Permit 签名里的截止时间，限制的是这条签名最晚何时能被提交上链，不是授权生效之后的有效期。签过恶意授权的地址，把那条授权撤掉就止住了，地址可以继续用；助记词泄露才需要换地址。怎么查、怎么撤，见《代币授权怎么查、怎么撤销》。
Permit 签名为什么危险？
Permit（EIP-2612）让你不发交易、只签一条链下消息就完成代币授权，不花 gas。危险在于它看起来不像授权：弹窗里是一段结构化数据，签完之后链上暂时什么都没有，要等拿到签名的一方把它提交上链，授权才生效，在那之前你翻交易记录和授权列表都看不到它。签之前看三样：被授权方（spender）的地址、额度、截止时间，对不上预期就拒签。怀疑签错了，按 Revoke.cash 的说明，还没被提交的签名可以到它的 Signatures 页签里尝试作废，已经生效的就是一条普通授权，照常撤销；同时把对应的代币转到另一个地址。详见《代币授权怎么查、怎么撤销》里讲 Permit 的一节。
点了空投 claim 之后币被转走了怎么办？
已经转走的追不回来，能做的是不让损失继续扩大。先到区块浏览器里看那笔转出：发起地址是别人、调用的是 transferFrom，说明对方用的是你签过的授权，把这条授权撤掉，地址还能继续用；出现不是你自己确认的转出、发起地址却是你自己，或者你在那个页面输入过助记词，按助记词泄露处理，新建一组助记词，把剩下的资产转走。拿不准属于哪种，按泄露处理。交易哈希、网址、截图留好，报案时用得上。之后主动找上门说能链上追回、要你先付费的，是冲着你来的第二轮骗局。两条处置路径见《私钥或助记词泄露了怎么办？》。
交易所账户
Binance 在中国大陆现在还能用吗？
按现行监管文件，不能。2026 年 2 月 6 日起施行的银发〔2026〕42 号通知写明：虚拟货币相关业务活动属于非法金融活动，境外单位和个人不得以任何形式非法向境内主体提供虚拟货币相关服务；同一份通知废止了银发〔2021〕237 号。本站不就此提供任何规避办法。通知原文的其它相关条款见单页《Binance 在中国大陆现在还能用吗？》。
提币地址输错了，能联系客服找回吗？
链上转账一旦确认就撤不回来，交易所客服改不了链上的记录。还有机会的只有一类：地址没错、只是网络选错了，或者币到了某家交易所控制的地址上，这时带着交易哈希到那家平台的官方帮助中心提交找回申请，能不能找回、收不收费，以它的答复为准。填成了陌生人的地址，基本追不回。主动私信你说能代为追回、要你先付费或要助记词的，一律按诈骗处理。以后往新地址提币，先转一笔小额，逐位核对完整地址，再看一眼网络。分情况的处理见《USDT 转错链能追回吗？》。
短信验证码 2FA 真的会被破解吗？
会，而且和你的密码强不强无关。短信验证码发到哪里，取决于手机号此刻挂在哪张 SIM 卡上；攻击者冒充机主，让运营商把号码补办或转移到他手里，验证码就到了他那里，这叫 SIM 换卡。FBI 互联网犯罪投诉中心 2022 年 2 月的公告写道，仅 2021 年就收到 1,611 起这类投诉，调整后损失超过 6,800 万美元。所以短信能关就关，改用验证器或通行密钥；平台要求保留短信的，按它官方的说明来，同时把更强的方式也绑上。四种方式的对比见《短信验证码为什么不安全？》。
提币白名单是什么，要不要开？
提币白名单是交易所账户里的一项设置：开启后只能把币提到事先登记并验证过的地址，往别的地址提会被拒绝。它防的是账户被人登录之后的那一步：对方没法随手把币提到自己的新地址，得先去添加地址，这给你留出了发现和处理的时间。我建议开，并且只把自己小额试转确认过的地址加进去。它不能代替二次验证，邮箱和账户一起失守时也拦不住。入口在哪、新增地址后要不要等，各平台不同，以平台安全设置页的说明为准。