凌晨两点，群里有人发截图，钱包里两千多U只剩零头。他没丢手机了。也没把助记词发给谁啊？只是在某个空投网站点了“连接钱包”，又顺手确认了一笔看不懂的授权。这类事故里了，tpwallet钱包安全真正卡住的一般就是用户对授权、签名和RPC节点的理解。私钥和助记词是钱包的根。
任何人拿到它们，等于拿到资产控制权了。助记词离线保存，抄在纸上、放进铁盒，不要拍照，不要存云盘了。
更不要发给“客服”。我见过有人把助记词贴在备忘录，手机修一次。
资产就没了。钱包密码、指纹、面容只是本地锁，不能替代助记词保护。授权是另一个隐蔽坑。很多DApp要求“授权代币”而不是只签名，授权额度可能无限大。下次遇到陌生网站，先看它要什么权限啊？
交易前核对合约地址、金额和数据的。定期清理授权比频繁换钱包更实用。链上工具能查历史授权。
发现不认识的合约，及时撤销。软件来源也得盯紧。搜索引擎里的“tpwallet下载”广告，可能指向假安装包。假App会偷助记词的。也会伪造收款地址。只从官网或官方应用商店安装，安装后核对包名和开发人员。公共Wi-Fi下别做转账了，RPC节点被劫持时，界面显示的余额和广播结果都可能骗你。
tpwallet钱包安全就是每次点击前多停三秒。还有个小习惯了。大额资产用冷钱包或硬件钱包，热钱包只留日常Gas和零钱。转大额前，先小额测试了；收到空投、NFT、陌生代币，不要急着交互。tpwallet钱包安全的核心很朴素是私钥不离线、不瞎签、不乱授权。骗子更新话术很快的，你的操作慢一点。
资产就稳一点。
