Web3 钱包是什么，和交易所钱包有什么区别，怎么用
有个朋友跟我说他"已经有钱包了"，结果一问，他指的是交易所 App 里那个显示余额的页面。我没急着纠正，但心里清楚：他还没真正拥有过一个钱包。这篇就想把这件容易混的事掰开——交易所里那个"钱包"和大家说的 Web3 钱包，根本不是同一种东西。搞懂这点，你才知道自己手里那串币到底归谁管。
交易所的"钱包"和 Web3 钱包，差别在私钥归谁
先说结论，再慢慢解释：你在交易所 App 里看到的余额，背后的私钥是交易所替你保管的；你自己装的 Web3 钱包，私钥从生成那一刻起就只在你手里。这一条差别，决定了出事时谁能救你、谁救不了你。
很多人第一次接触加密资产，是在某个交易所注册账户、充点钱、买了第一笔币。这时候你看到账户里有了余额，很自然地以为"我的币在我的钱包里"。但严格说，那笔币是记在交易所名下的地址上，交易所在它的内部账本里给你记了一笔"这个人有这么多"。你能买卖、能提现，是因为交易所认你这个账户。你手里没有任何一把能直接动用那笔链上资产的钥匙——钥匙在平台保险库里。
Web3 钱包是另一套逻辑。它在你的手机或浏览器里生成一对密钥：一把公钥（对外的收款地址），一把私钥（动用资产的唯一凭证），通常再用一组助记词把私钥备份出来。从此你就是这个地址的唯一主人，没有任何客服、没有任何后台能替你转账，也没有任何人能冻结它——好处和代价都在这句话里。这组助记词背后遵循的是一套公开标准（BIP39），12 词对应 128 位熵、24 词对应 256 位熵，正是它让一串单词足以代表你的私钥。关于私钥、助记词、地址这三者到底什么关系，要是还没完全理顺，建议先把私钥和助记词什么关系读一遍，这篇剩下的部分会默认你大致知道。
托管和自托管，区别就是私钥在谁手里
这一节是全篇的地基，值得多花点字。托管（custodial）和自托管（non-custodial）的分水岭，就是"私钥在谁手里"。
交易所托管：方便，但你在信任一个平台
把币放在交易所，本质是你信任这家公司：信它不跑路、不挪用、不被黑、在你想提现时还有钱可提。多数时候大平台是靠谱的，出入金、买卖、换币确实方便得多，这也是为什么几乎所有人的第一笔交易都从交易所开始。但"信任一个第三方"这件事本身就是风险来源——历史上交易所暴雷、卷款、被盗导致用户提不出币的事并不少见。币圈那句老话说得直白：不是你的私钥，就不是你的币（not your keys, not your coins）。放在交易所，你拥有的是一个"平台欠你这么多"的债权，不是链上那串资产本身。
这不是说交易所一无是处。它的定位很清楚：买卖、出入金、做兑换的枢纽，方便、流动性好、出问题有客服。问题只在于——把大额、长期不动的资产一直留在那里，等于把保管权常年交给别人。
自托管：钥匙归你，责任也归你
Web3 钱包是自托管的典型。私钥归你，意味着没人能动你的钱，也意味着没人能替你兜底。转错地址、签了恶意授权、助记词泄露或丢失，统统是你自己承担，没有"找回密码"这个按钮。自由和责任在这里是一体两面：你拿回了完整的掌控权，同时也接过了完整的看管义务。
以太坊官方的安全页把这层关系讲得挺到位，值得一读——ethereum.org 的安全指南里反复强调的就是"你是自己资产的最后一道防线"。这不是吓唬，是自托管的真实门槛。想系统了解自托管到底要扛哪些事、怎么环环相扣地防，可以配套读我们的自托管完全指南。
Web3 钱包能干嘛
如果只是存币、转账，交易所其实也能干。Web3 钱包真正不可替代的，是它能作为你进入链上世界的"通行证"——很多东西离开自托管钱包就玩不了。
连 dApp，和链上应用直接交互。dApp 是跑在区块链上的去中心化应用。你访问它的网页，用钱包"连接"一下，就能直接和它的智能合约打交道，全程不需要注册账号、不需要交个人信息——你的钱包地址就是你的身份。
玩 DeFi。去中心化金融里的兑换、借贷、提供流动性这些，几乎都要求你用自托管钱包签名授权。交易所里那个余额页面是进不去这些场景的。频繁玩 DeFi 会让你授权一大堆合约，这块后面风险那节会重点讲。
领空投、参与活动。不少项目会按链上地址的历史行为给早期用户发空投，前提是你得用自托管钱包真实地交互过。空投也是钓鱼重灾区，"假空投领取"骗的就是你的授权和签名，后面细说。比特币系的资产则走另一套体系，想了解它的基本面可以看bitcoin.org 中文页。
持有和交易 NFT。NFT 这种链上凭证，得放在你自己掌私钥的钱包里才算真正归你。在市场上买卖 NFT，同样是钱包签名完成的。
说白了，Web3 钱包是"自托管 + 链上交互"两件事的结合。前者给你所有权，后者给你参与权。哪些链该用哪种钱包形态（EVM 系、比特币、Solana 各有讲究），可以看不同链用什么钱包。
怎么建一个、怎么用起来
建一个 Web3 钱包不难，难的是把每一步背后"在防什么"想清楚。下面是通用流程，具体哪款钱包的按钮叫什么会有出入，但骨架都一样。
- 从官方渠道下载。这一步就开始有坑了。山寨钱包 App、相似域名的假官网、搜索结果里的广告位，都可能把你引到一个会偷助记词的假货上。务必核对官网域名、从官方应用商店或官网链接下载，别点来路不明的链接。怎么分辨真假，看怎么识别假钱包与钓鱼。
- 创建钱包、生成助记词。钱包会给你一组 12 或 24 个英文单词（BIP39 标准，12 词对应 128 位熵，24 词对应 256 位熵）。这组词就是你私钥的人类可读备份，谁拿到它谁就能掏空这个钱包。生成的那一刻确保周围没摄像头、屏幕没在录屏或投屏。
- 离线备份助记词。抄在纸上或刻在金属板上，离线保存，最好分散在两个物理位置。绝不截图、绝不存云盘、绝不发给自己、绝不录入任何联网的笔记。只要它进过任何联网的地方，就该当它已经泄露。备份方法的细节看助记词怎么安全备份。
- 核对备份。钱包通常会让你按顺序重新选词来确认。抄完一定要核对词序，抄错一个或顺序错了，将来恢复时就会对不上。可以用我们的助记词备份核对再过一遍。
- 小额试一笔。先转一笔小钱进来，再转出去一笔，跑通整个流程、确认地址无误、确认到账，再考虑放大额。这一步能帮你提前发现"地址抄错""选错链"之类的低级但致命的错误。
用起来也就两类操作：收款时把你的地址给对方（地址很长，建议复制粘贴后再核对头尾几位，别手抄）；付款或交互时，钱包会弹出一个确认框，你看清内容再签名。整个体验和交易所很不一样——没有客服、没有撤回，每一次"确认"都是终局。第一个钱包从零到能用的完整手把手，我写在新手第一个钱包怎么建。
链上风险：钱多半是这么丢的
这一节最该认真读。自托管钱包被偷，极少是"私钥被黑客硬解出来"——那几乎不可能。绝大多数损失，是用户自己在某个环节被骗着把门打开了。下面几类是链上最常见的丢钱方式。
助记词外泄：最常见的丢钱原因
助记词等于私钥的明文备份。它一旦泄露，对方不需要碰你的设备，在世界任何角落都能把你的钱包清空，而且无法挽回。所以最高优先级的纪律就一条：助记词绝不外泄、绝不联网、绝不交给任何人。没有任何正当理由需要你"输入助记词去验证""把助记词发给客服解锁""到某个网站同步钱包"——所有这么要求你的，百分之百是骗局。钱包官方永远不会问你要助记词。
授权钓鱼：你"自己"把钱放走了
这是 Web3 钱包独有、也最隐蔽的坑。在链上和合约交互，你常常要先"授权（approve）"某个合约动用你某种代币。恶意 dApp 会诱导你签下一笔"无限授权"，之后它就能在任意时刻把你这种代币全部划走——整个过程你的私钥从没泄露，是你亲手授权的。硬件钱包也防不住这个，因为它防的是"偷"，防不了"骗你自己点确认"。定期检查并撤销不用的授权是必修课，怎么看、怎么撤，我专门写了代币授权的风险与撤销。
假 dApp、假官网：界面一模一样
骗子会做一个和知名项目长得几乎一样的假网站，域名差一两个字母，或者买搜索广告排在真站前面。你以为在和真项目交互，连上钱包、签个名，授权就落到骗子合约手里了。访问 dApp 尽量从项目的官方社媒、官方文档进入，核对域名，别点社群里、私信里塞来的链接。
签名要看清：别闭眼点确认
钱包弹出的每一个确认框，都是在替你做一件不可逆的事。可怕的是有些恶意签名（比如一些"离线授权"类的签名）界面上看着人畜无害，点下去却等于把代币的支配权交了出去。养成习惯：每次签名前，看清楚你在和哪个地址/合约交互、它要动你的什么、是不是无限额度。看不懂、不确定的，宁可取消也别签。以太坊官方文档里关于交易和授权机制的说明可以帮你建立底层认知，参考 ethereum.org 的开发者文档。
还有几个容易忽略但要命的坑
- 剪贴板劫持：有些木马会在你复制地址时，把粘贴出来的地址悄悄换成骗子的。所以转账粘贴地址后，一定核对头尾几位。
- 假客服、假"工作人员"：主动私信你、说能帮你"解决钱包问题"的，基本都是骗子。Web3 没有"找回密码"的客服。
- 把热钱包当保险箱：Web3 钱包多是热钱包，私钥在联网设备上。日常交互用它没问题，但别把全部身家放进去。大额该用冷存，原理看热、冷、硬件钱包怎么选。
这些风险列出来不是劝退，而是想让你带着"自托管=自己负责"的清醒去用。门钥匙在你手里，最大的安全变量就是你自己的操作习惯。习惯立住了，链上其实没那么吓人。
谁适合用，谁先别急
适合用 Web3 钱包的：想真正拥有资产、不愿把保管权长期交给平台的人；想玩 DeFi、领空投、买 NFT、和链上应用交互的人；愿意花点时间学规矩、能管住自己"不乱点不乱签"的人。这些场景离开自托管钱包基本玩不转。
可以先别急的：刚入门、连私钥助记词都还没搞清的人，不必一上来就猛冲 DeFi——先用交易所完成买卖入门，同时拿个 Web3 钱包做小额练手，把流程和安全习惯建立起来，金额再慢慢上。性子急、容易冲动点确认、看到"高收益"就上头的人，更要先把风险那节读熟，自托管的容错率很低。
说到底，这不是"该不该用"的二选一，而是"什么阶段用到什么程度"的问题。下一节就讲，多数人其实是两个一起用。
两个一起用，可能才是常态
别把交易所和 Web3 钱包对立起来。在我自己和身边人的用法里，它俩更像分工合作：
交易所负责"换"——买入、卖出、出入金、换币，流动性好、操作顺，第一笔法币入场和最后一步出金基本绕不开它。Web3 钱包负责"持有和交互"——把不急着卖的资产提到自己掌私钥的钱包冷热分层放好，需要玩链上的时候用热的那个去签名。买卖完成后及时把资产转回自己钱包，别让大额长期躺在交易所账户里。怎么从交易所把币安全提到自己钱包、怎么选对链别选错网络，看交易所提币到自己钱包。
几个常被问到的问题
Web3 钱包和热钱包、硬件钱包是什么关系？不是一个维度的分类。"Web3 钱包"强调的是自托管 + 能连 dApp 这层功能，多数 Web3 钱包是热钱包（私钥在联网设备上）。但你也可以把硬件钱包接上去给 Web3 钱包当签名器，让大额操作在离线设备里确认——这就兼顾了交互能力和冷存安全。
我在交易所里也能看到 dApp、Web3 字样，那算自托管吗？看私钥在谁手里。有些交易所 App 内置了一个独立的自托管 Web3 钱包模块（会单独让你备份助记词），那部分是自托管的；而你的交易账户余额仍然是平台托管的。两者在同一个 App 里，但属于两套东西，别混。
建钱包要花钱吗？创建 Web3 钱包本身免费。你花的是链上交互时的网络手续费（gas），以及如果要冷存，买硬件钱包的钱。可以用Gas 费估算先感受一下不同链交互大概要花多少。
钱包 App 卸载了，币是不是没了？不会。币在链上，不在 App 里。只要助记词还在，换个设备、装回钱包、用助记词恢复即可。这也再次说明：助记词的备份比任何设备都重要。
能撤销我之前给某个 dApp 的授权吗？能。授权是链上记录，可以主动撤销，撤销也要付一点 gas。建议定期清理不用的授权，方法见代币授权的风险与撤销，也可以用授权风险自查先排一遍。