什么是 seed 助记词，为什么它比密码更重要
Seed 助记词（助记短语）是一组 12 或 24 个单词，钱包通过数学方法由它恢复出你所有的私钥和地址。任何知道这组词的人都能完全控制资金：他不需要你的手机，不需要应用密码，也不需要访问你的邮箱。
因此 seed 助记词与网站密码的性质不同。密码可以通过客服重置。区块链没有客服：用你的密钥签名的交易被视为所有者的意愿，无法撤销。正是这一特点使 seed 助记词成为骗子的首要目标。
如何保管 seed 助记词
基本原则：助记词离线保存，并保留多份副本，但不要放在可远程访问的地方。
- 用手把单词抄写在纸上，或刻在金属板上，注意保持顺序和编号。
- 把副本分开保存在不同的实体地点，例如家中和银行保管箱，或交给可信的人，以免火灾或遗失毁掉唯一的一份。
- 核对抄写内容：先在干净的设备上用小额资金恢复钱包，再把大额资金托付给它。
- 不要向外人透露你在哪里、以怎样的方式保管助记词。
如果你使用了额外的密码短语（passphrase），请与单词分开保存：丢失两者中的任何一项都意味着失去访问权限。
对 seed 助记词和私钥绝对不能做什么
以下列出的行为最常导致资金损失。
- 不要给助记词拍照或截图：图片会同步到云端，账户被入侵时就会落入他人之手。
- 不要把助记词保存在备忘录、即时通讯工具、邮件、云文档里，也不要放进没有额外保护的密码管理器。
- 不要在网站上、在“检查钱包”“同步”或“验证所有权”的表单中输入助记词。
- 不要把助记词和私钥发到客服聊天中，即使对方自称是服务方员工或钱包开发者。
- 不要通过电话念出这些单词，也不要在视频通话中展示。
记住一条简单规则：seed 助记词只有在一种情形下才会用到，那就是你自己在应用或硬件设备上恢复自己的钱包。
关于私钥：它们是同样的访问数据，只是形式不同。“私钥”字符串或密钥文件需要与助记词同样对待。把密钥导入别人的程序，等于把钱包交给了它。
钓鱼网站和消息长什么样
钓鱼是试图让你自愿交出数据，或签署恶意操作。网站的仿冒品看起来可能与原站几乎一模一样，所以要评估的不是设计，而是地址和上下文。
- 域名与正版相差一两个字母，含有多余的词、连字符或不常见的后缀。
- 链接来自搜索广告、私信、评论或邮件，而不是你自己保存的书签。
- 页面催促你：“账户将被冻结”“活动 10 分钟后结束”。
- 网站要求你输入 seed 助记词或私钥，“以恢复访问”。
- 有人在私信里向你提供“特别汇率”的兑换。
关于如何识别不诚信的服务，请阅读材料假冒兑换站的特征。
地址替换与 clipboard hijacking
Clipboard hijacking 是监视剪贴板的恶意程序。当你复制钱包地址时，它会悄悄把地址替换成攻击者的地址。你粘贴了别人的地址却没有发现差别，于是把资金发给了他。
防护靠核对的习惯：
- 粘贴后，将地址与原地址完整对比，而不只是开头和结尾的字符：骗子经常挑选开头和结尾相似的地址。
- 大额转账先发一笔小额测试付款，并确认其已到账。
- 固定收款方使用钱包的地址簿，并检查其中记录的地址。
- 保持系统和杀毒软件更新，不要安装来源可疑的程序。
检查流程见文章如何检查钱包地址。
Approve 代币授权确认：看什么
在支持智能合约的网络（例如 Ethereum、BNB Chain）中，USDT 之类的代币有两种发送方式：普通转账，或通过授权（approve）。Approve 赋予合约在指定额度内划扣你的代币的权利，有时额度和期限都没有限制。如果你把这样的授权给了恶意合约，它之后可以不再请求就取走代币。
确认前请检查：
- 是哪个合约或网站在请求访问，这一操作是否由你发起。
- 你授权的是什么代币、多大额度。“无限”（unlimited）的措辞会提高风险。
- 到底为什么需要授权。向兑换地址的简单转账不需要 approve。
请定期在区块链浏览器或专门工具中查看已授予的授权，并撤销不需要的。撤销本身也是一笔交易，需要支付网络手续费。
消息签名与“免费空投”
钱包不仅会请求你签署交易，也会请求签署消息。消息签名本身不会划扣资金，但某些签名会被用作未来操作的授权。请阅读请求内容：如果你不明白自己签的是什么，就拒绝该请求。
另一类骗局是“免费空投”、邀请你“领取奖励”，以及突然出现在你地址上的代币。在第三方网站上尝试出售这类代币或“领取”奖励，往往会导致恶意 approve。如果陌生代币自己出现了，最安全的做法是不对它做任何操作。
冷钱包与热钱包：区别何在
热钱包始终连接互联网：手机应用、浏览器扩展、网页钱包。它便于频繁操作，但容易受恶意程序和钓鱼攻击。冷钱包把密钥保存在不持续联网的设备上：硬件钱包或离线存储。签名在设备内部完成，密钥不会离开设备。在设备屏幕上你能看到操作的地址和金额，按下按钮之前要核对的正是它们。
- 热钱包适合小额资金和日常转账。
- 冷钱包适合长期保管较大的金额。
- 两种类型都无法防止用户自身的失误：在硬件设备上确认了恶意操作，你同样会损失资金。
角色分开是常见做法：热钱包里只放少量用于操作的余额，其余另行保存。
如何选择钱包和设备
没有通用的答案，但有一些标准有助于比较各个选项。
- 谁保管密钥。在非托管钱包中，密钥在你手里，责任也在你；在托管钱包（例如交易所）中，由公司管理密钥。
- 对所需网络的支持：确认钱包支持你打算接收的币种和网络。
- 应用来源。只从开发者官方网站或官方应用商店下载钱包，并核对名称和开发者。
- 项目的透明度：开源代码、定期更新、清晰的历史。
对于安装钱包的设备，请遵守基本的卫生习惯：更新、屏幕锁定、不安装可疑扩展。大额资金不要使用公共电脑和未经验证的公共网络。访问兑换网站时，不妨单独建立一个没有多余扩展的浏览器配置文件：恶意扩展可以读取页面并更改地址。
如何确认自己位于服务方的真实网站
检查网站用不了一分钟，却能消除大部分风险。
- 通过书签打开服务，或手动输入地址，而不是点击消息或广告中的链接。
- 逐字符阅读地址栏中的域名。BITWHITE 唯一的官方域名是 bitwhite.net。
- 确认连接是加密的，但要记住：锁形图标说明的是加密，而不是网站是否诚实。
- 只在服务方自己的官方“联系方式”页面查找联系信息。
- 如果服务要求提供 seed 助记词或私钥，请关闭页面：没有哪个真正的服务会这样做。
如果 seed 助记词可能落入骗子之手怎么办
如果你在可疑网站上输入了助记词，或把它发给了外人，就应视该钱包已遭泄露。必须迅速行动。
- 在干净的设备上创建新钱包，使用新的 seed 助记词。
- 尽快把剩余资金转到新地址，并考虑网络手续费。
- 如果旧地址上还有东西，撤销该地址已授予的授权（approve）。
- 更改关联账户的密码，并检查设备是否有恶意程序。
不要相信陌生人提出预付费用帮你追回资金：这是下一轮骗局。已划走的资金通常无法追回，因此这些步骤旨在保护剩余部分。如果金额较大，有必要咨询律师并向执法机关求助。
保护钱包周边的账户和设备
如果攻击者拿到了与服务绑定的邮箱或手机，再完美地保管 seed 助记词也无济于事。几个习惯能明显降低风险。
- 为每个服务使用唯一的长密码，并启用基于验证器应用的双重认证，而不是只用短信。
- 不要打开冒充交易所、钱包或兑换站通知的邮件中的附件和链接。
- 不要应“客服专员”的要求安装远程访问程序：他们可以借此看到屏幕并替你确认操作。
- 把备份与安装钱包的设备分开保存。
如果情况看起来很紧急，要求你立即输入数据或发送资金，请停下来。紧迫感是社会工程学的主要工具，而诚实的服务不会剥夺你核实的时间。
常见错误
- 把助记词“临时”存在手机的照片或备忘录里。
- 只核对地址的开头和结尾。
- 不看金额和合约地址就确认 approve。
- 通过广告或私信中的链接进入服务。
- 信任“帮忙”处理钱包并索要恢复数据的聊天对象。
- 把全部资金放在热钱包里，并且放在会安装随意程序的同一台设备上。
- 在错误的网络中发送付款：见发错网络或地址该怎么办。
发送资金前的安全清单
- Seed 助记词已写在纸或金属上，离线保存，且没有被拍照。
- 网站通过书签打开，域名已逐字符核对。
- 粘贴后已完整核对收款地址。
- 选对了网络，必要时填写了 memo 或 destination tag（其工作原理）。
- 大额资金已做过测试付款。
- 所有签名和 approve 请求在确认前都已阅读。
- 已保存订单号及其链接；之后可以通过 txid 找到交易（如何使用浏览器）。
兑换的一般流程见分步指南。
这与在 BITWHITE 兑换有什么关系
在 BITWHITE 兑换既不需要 seed 助记词，也不需要私钥：服务方绝不会索要，也不会在私信中提供兑换。唯一的官方域名是 bitwhite.net，官方客服渠道列在“联系方式”页面上。创建订单无需注册。
收款地址由你自己填写，所以粘贴后请核对。付款地址按每个订单单独提供，有效期最长 2 小时；请在所选网络中发送准确的金额。转到错误收款信息的转账不予退款，而在自动模式下，退款地址同样由你自己填写，因此也应检查。如果需要帮助，请只通过官方渠道联系，并提供订单号（BW-…）、币种、金额和 txid。如果你准备创建订单，请通过书签打开 bitwhite.net 兑换表单。