凌晨两点，有人把TP钱包助记词截图存进相册，第二天手机云同步被撞库，钱包里的USDT和几个NFT被分批转走吧？链上交易没有客服撤回，地址。一旦签名，资产归属就变了。
TP钱包资产安全就是一串习惯，私钥不触网、授权不贪多、签名前多看一眼。TP钱包属于非托管钱包，助记词和私钥只存在你的设备里。官方不会打电话索要了，也不会在App里弹窗让你“验证助记词”。我见过最危险的场景，是用户把助记词抄在便签、发到微信收藏、存进网盘。甚至拍照后删掉原图，以为万事大吉。云相册回收站、输入法剪贴板、聊天记录备份都可能留下副本。
更稳妥的做法是手抄在防火防水的纸上，分两处存放的，不要让任何联网设备碰它。手机，如果Root或越狱，恶意软件读取钱包文件的概率会明显上升；
旧版本App、第三方应用市场下载的安装包，也可能被植入后门。授权管理常被忽略。很多DeFi网站、NFT铸造页面会请求“无限授权”，用户点一下确认的。等于把某代币的支配权交给合约。合约安全时没事，合约被攻破或留后门，资产就可能被转走的。定期在TP钱包的授权管理里检查，把不用的、高风险的授权撤销。签名弹窗也要细看，是登录签名、交易签名，还是Permit离线授权？链ID、金额、合约地址、Gas费是否对得上呢？
有人复制地址转账，剪贴板木马把收款地址换成攻击者地址的，前几位和后几位看起来差不多吧？一按确认就转错。小额测试再大额转账，麻烦一点了，比事后追资产轻松。
公共WiFi、陌生空投链接、假客服是另一类入口。钓鱼网站会仿造TP钱包官网或热门项目页面。诱导输入助记词、连接钱包并签名了。把常用资产放热钱包，大额资产放冷钱包或硬件钱包，能降低单点失误的代价。TP钱包资产安全说到底，是让私钥远离网络，授权保持最小，每次签名都有理由。做不到百分之百安全了，能避开大多数已经反复出现的坑。
