检查范围：先看密钥与签名在哪里
钱包用于管理密钥、查看链上信息和签署交易。风险检查首先要弄清：私钥存在哪里，哪个设备负责签名，签名前能否独立核对内容。以下要点主要适用于自行保管密钥的钱包；代币合约授权检查则适用于支持此类机制的网络和资产。
以太坊安全说明着重提示恢复短语保密、交易核对及授权限制；比特币开发者指南解释了联网、离线及硬件签名的分工。两者共同说明，密钥保护与签名审核是不同的安全环节。
密钥备份：同时检查泄露与丢失
恢复短语和私钥属于控制资产的敏感凭据。检查它们是否曾被截图、同步到云端、发送给他人，或输入陌生网站。客服身份、故障修复和资产找回等说辞，都不能成为交出密钥的理由。
备份还要考虑能否恢复：记录是否完整、介质是否容易损坏、遗失设备后是否仍能取得备份。钱包解锁密码与恢复短语用途不同，不能把记住登录密码等同于完成密钥备份。
设备环境：加密与离线保护都有边界
联网设备若被恶意软件控制，私钥及签名过程可能受到影响。钱包文件加密主要保护未解锁时的内容，无法充分防御解锁过程中窃取密码或读取内存的攻击。
离线钱包与硬件钱包通过隔离签名环境减少密钥暴露，但安全仍依赖设备正常工作和用户核对。检查重点包括软件来源是否可信、是否开放陌生人远程控制，以及签名设备显示的内容是否符合预期。
签名与授权：检查实际允许什么
签名前应核对目标地址、金额和交易内容；使用硬件钱包时，还需核对设备屏幕。已确认的链上转账通常不能由钱包客服撤回，界面显示正常也不能替代逐项确认。
对支持代币授权的合约，需检查被授权对象、额度和权限是否仍有必要。无限额度会扩大授权被滥用时的损失范围。断开网站连接通常不等于撤销链上授权，两者应分别检查。
常见问题：没有泄露私钥也会受损吗
会。恶意交易或授权可能让资产被转走，而不需要攻击者获取私钥。正常签名不会直接把私钥交给网站，但签名所允许的操作可能有害，因此不能仅凭“没有输入助记词”判断安全。
陌生代币到账、名人视频或看似官方的链接预览，都不能证明相关网站可信。检查浏览器实际域名，并警惕以领取奖励、限时返还或客服协助为由要求签名、付款或安装软件的请求。