先确认钱包由谁控制
检查私人钱包，首先要明确私钥由谁保管。自托管钱包由用户管理密钥，也由用户承担保管和恢复责任；第三方控制密钥的服务，还涉及服务方安全、运营故障及访问受限风险。钱包装在个人手机上，并不必然意味着用户独立控制资产。
Ethereum.org的安全说明侧重助记词保护、签名核对及合约权限；Bitcoin.org的钱包安全说明强调备份、加密、离线保管和恢复安排。两者共同指向一个检查原则：既要防止他人取得控制权，也要避免自己失去恢复能力。
密钥与备份是否同时安全
助记词和私钥属于核心秘密。检查其是否曾通过截图、云同步、聊天记录或陌生网页暴露。以客服验证、钱包修复为名索取这些信息，是明显危险信号。钱包密码与助记词作用不同，修改应用密码不能消除已经发生的助记词泄露。
备份还要检查完整性、可读性和保存地点。不同钱包的恢复要求可能不同，不能假定所有钱包只保存一份助记词就足够。备份集中在同一设备或地点，会同时面临丢失、损坏风险；增加副本也需控制接触权限。
设备与硬件钱包的保护边界
检查钱包软件和操作系统是否维护更新，设备是否安装来源不明的程序，是否允许陌生人远程控制。加密能够保护存储内容，但无法解决所有恶意软件或键盘记录风险。
硬件钱包通过隔离私钥降低联网设备被入侵带来的风险，但不保证每次操作都安全。如果用户确认了恶意交易，或泄露了恢复信息，硬件隔离仍可能无法阻止损失。设备安全与签名内容需要分别检查。
签名与合约授权要核对什么
确认交易前，应核对完整收款地址、金额和显示的操作内容。已经确认的链上转账通常不能由钱包客服撤销，因此不能把事后找回作为安全保障。
对于支持代币授权的智能合约网络，还需检查授权对象、额度及是否仍有必要保留。无限额度会扩大恶意或存在漏洞的合约能够动用资产的范围。这类检查适用于相应合约机制，不能直接套用到所有数字币钱包。
常见问题：未泄露私钥也会损失吗
会。恶意授权或签名可能允许资产被转走，并不一定需要窃取私钥。普通签名也不等于把私钥发送出去，关键在于签名实际授予了什么权利。陌生空投、仿冒网站和私信客服，都可能诱导用户确认危险操作。
钱包设备丢失是否等于资产丢失，则取决于恢复材料是否完整、有效且未被他人取得。长期保管还应考虑本人无法操作时的恢复安排，同时避免为了方便恢复而公开关键秘密。