先确认钱包由谁控制
风险检查的第一步，是弄清谁掌握私钥。托管服务由第三方管理密钥，用户依赖其安全措施与持续运营能力；自托管钱包则由用户承担密钥保管和恢复责任。软件钱包、硬件钱包描述的是使用形式，不能替代对控制权的判断。
Bitcoin.org的钱包安全说明涉及第三方托管、完整备份、加密、软件更新和多重签名。这些检查方向适用于比特币钱包，但具体恢复要求仍取决于钱包设计。
密钥和备份是否存在单点风险
检查助记词、私钥是否曾被截图、上传云端或发送给他人。截图可能自动同步，扩大泄露范围；钱包解锁密码也不能阻止掌握助记词的人在其他设备恢复钱包。
备份既要防窃取，也要防遗失与损坏。应确认备份包含恢复所需的信息，并了解钱包是否需要更新备份。多个安全地点可降低单一地点受损的影响，但每多一份副本，也增加一处需要保护的入口。
设备安全与硬件钱包的边界
软件钱包需要关注操作系统、钱包程序的安全更新及恶意软件风险；托管账户还需检查独立强密码和多因素认证。账户防护与私钥备份解决的问题不同，不能相互替代。
硬件钱包通过隔离私钥降低联网设备被入侵后的密钥暴露风险，但仍需保护恢复备份、核对签名内容。设备离线保管密钥，并不意味着用户确认的每项操作都安全。
签名和合约授权是否清楚
Ethereum.org的安全说明强调保护助记词、核对接收地址、限制合约支出权限及识别假客服和钓鱼链接。这些内容中，代币支出授权主要适用于支持相应智能合约机制的网络。
检查签名时，要理解其允许的操作、涉及的资产和权限范围。无限额度授权会扩大相关合约被恶意利用时的潜在影响。普通签名通常不会直接泄露私钥，但恶意授权仍可能让资产被转走；没有泄露密钥不等于没有风险。
常见问题：客服和恢复能解决什么
声称可以追回资产，却索要助记词、私钥或远程控制权限的人员，是明显的风险信号。社交账号、广告预览和名人视频都不能单独证明链接可信，识别时应关注实际域名及页面要求的权限。
设备丢失是否等于资产丢失，取决于恢复信息是否完整可用。链上转错地址能否撤回，则是另一类问题：已确认交易通常不能由钱包客服单方面撤销，备份也无法让交易回滚。