ImToken以太坊钱包到底安全吗？这些坑90%新手都踩过

导读： 聊到以太坊钱包，ImToken可能是新人手机里第一个装的App，界面清爽，操作直观，连我这种当年连私钥和密码都分不清的小白，也能在十分钟内完成第一笔转账，但问题来了——用了快三年，见过身边太多人因为一个小疏忽，直接把币转进黑洞，或者被盗得只剩个空钱包，今天不聊高大上的技术，就掏心窝子说说,ImTok...

聊到以太坊钱包，ImToken可能是新人手机里第一个装的App，界面清爽，操作直观，连我这种当年连私钥和密码都分不清的小白，也能在十分钟内完成第一笔转账，但问题来了——用了快三年，见过身边太多人因为一个小疏忽，直接把币转进黑洞，或者被盗得只剩个空钱包，今天不聊高大上的技术，就掏心窝子说说,ImToken用以太坊时那些最容易忽略的致命细节。

别把“助记词”当密码存手机

这可能是最老生常谈却最容易被轻视的坑，很多人觉得，我把助记词截个图存手机相册，或者记在备忘录里，再设个复杂密码总没问题吧？错了，你手机里的任何App，只要申请了读取存储权限，理论上都能扫描到那张截图，更别说那些伪装成清理工具的木马,专挑相册里的关键词图片下手。

正确做法：助记词必须物理隔离，拿支笔，写在纸上，藏到只有你知道的地方，电子设备上不留任何痕迹，如果你实在怕丢，可以学我——用钢板刻字，防火防水防熊孩子,几十块钱买个安心。

转账地址核对：只看首尾几位就是作死

你有没有过这种体验：转账时复制了地址，系统自动校验通过，你就放心点了确认？以太坊地址是0x开头的42位字符，很多人的习惯是看一眼开头几位“0x”对得上，尾巴几位字母数字一致，就默认没问题，这种习惯,黑客比你还清楚。

我认识一个老哥，转账时复制了交易所的充币地址，结果剪贴板被木马篡改，中间几位字符被替换成攻击者的钱包，他转了500个ETH，不到三十秒，币就进了黑地址，你问为什么系统没报警？因为木马只改了中间段，首尾校验完美通过，钱包检测不出来，从那以后，我每次转账都强制自己做三件事：地址一位一位核对、小额测试转账、确认后立刻清理剪贴板。

DApp授权：你以为是免费领糖果，其实是开了后门

ImToken内置的DApp浏览器确实方便，点一下就能连上各种去中心化应用，但问题就出在这个“方便”上，很多新手看到“免费领NFT”“空投领取”就兴奋，点进去，连接钱包，然后稀里糊涂授权了一堆智能合约，你给了授权，就等于给了对方随意转走你钱包里某种代币的权限,而且是无限额度。

我之前也中过招，一个号称“以太坊域名注册”的DApp，界面做得跟真的ENS一模一样，我授权了USDT的支出权限，不到两天，钱包里两千多U就被转走了，后来查链上记录，才发现那个合约有个特殊函数，能够一次性取出所有授权过的余额，所以现在我的原则是：凡是不知名的DApp，绝不授权高价值代币；必须授权时，设定额度而不是给无限权限；用完立刻在ImToken里撤销授权，这个功能在“授权管理”里就有。

Gas费设置：图省事选“快速”可能让你多亏一倍

以太坊的Gas费机制复杂，但ImToken贴心地给出了“慢速”“标准”“快速”三个选项，大部分人想赶紧确认，闭眼选“快速”，可你要知道，当网络拥堵时，不同档位之间的Gas价格差距可能达到几十Gwei，一次转账多花几美元，十次就是几十美元,一年下来这个数字可不少。

更坑的是，有些时候你选了“快速”，但网络波动导致交易迟迟不能打包，你急得追加Gas费，一来一回花了双倍钱，我的经验是，如果不是急用钱，直接选“标准”甚至“慢速”就行，ImToken会显示预估等待时间，几十秒和几分钟的差别，对大多数人来说根本不重要，建议避开以太坊主网的交易高峰时段，比如欧美工作日的下午,那时Gas费通常翻倍。

“观察钱包”模式：你看到的余额可能只是幻觉

ImToken有一个“观察钱包”的功能，输入地址就能查看余额，很多人图方便，把交易所充币地址或者别人转给你的地址添加进来，误以为“这个钱包是我的”，你并没有私钥，里面的钱你动不了，更危险的是，有骗子会故意转几笔小额ETH到这个地址，然后诱导你充值进去“激活”,你一充进去就永远提不出来了。

真事：有个群友在Telegram上认识一个“分析师”，对方说可以帮他操作套利，让他把币转到“共同账户”里，群友打开ImToken添加了那个地址作为观察钱包，看到里面确实有几万U，以为自己能控制，就直接转了1个ETH过去，结果对方瞬间转走，他问为什么提不出来，才发现那个钱包根本不在他名下，所以记住：ImToken里你真正能控制的,只有你亲手创建或导入私钥的钱包。

版本更新：官网下载才是正路，应用商店可能下架

这是一个很多老用户都会忽略的细节，因为一些合规原因，ImToken可能在某些地区的正规应用商店下架，你就去网上搜索下载链接，很容易点到钓鱼网站，那些假App界面做得一模一样，但你一输入助记词,就直接把数据发到黑客服务器。

我的做法是：永远只从ImToken的官网（imtoken.im）下载，第一次安装后，一定要验证一下官方提供的校验码，如果你之前下载过，建议每过几个月检查一下App的签名是否一致，安全这个事情,翻车一次就是满盘皆输。

不要迷信“冷钱包”就万事大吉

很多人觉得，ImToken有冷钱包模式，我把私钥存在不联网的设备上，绝对安全，但冷钱包只是解决了私钥被盗的风险，你签名的过程依然可能被攻击，举个例子，你连到一台有病毒的电脑上去签名交易，表面是授权转1个ETH,实际签名内容可能是授权转走你所有资产。

我身边有个人，用的还是硬件冷钱包，但他图省事，直接用公司公用电脑登录ImToken的Web端去签名，结果那天正好有同事下了带病毒的软件，签名数据被拦截篡改，他两个以太坊账户全部被清空，所以不管你是热钱包还是冷钱包，操作环境的清洁永远是第一位的，转账前，关掉无关的网页、不安装插件、不用公共WiFi——这些老掉牙的提醒,代价最高。

写了这么多，不是为了吓谁，ImToken本身是个好产品，但在去中心化的世界里，安全从来不是App一个人的事，私钥在你手里，每一笔交易的决定权在你手里，每一个DApp授权的风险也由你承担，那些踩过的坑，说白了都是因为“方便”两个字，让我们忽略了“安全”这两个字。

所以最后问你一句：你现在敢不敢打开ImToken，检查一下你的授权列表？如果里面有五个以上你没印象的DApp,你应该知道自己该做什么了。