老张上周三晚上十点发来语音。说TP Wallet里的USDT被转走两笔。每笔三千多。他第一反应是“我改过密码啊，怎么还能转”这句话把我问住了呢？他说的改密码，是打开设置里的安全选项，换掉六位PIN的，以为别人就动不了资产。可转账记录显示，操作出现在凌晨两点，设备正是他自己的旧手机。TP Wallet这类去中心化钱包，密码只负责本地解锁。
它像你家门锁，防的是捡到手机的人，不防已经拿到私钥的人。老张后来才想起，三个月前换新手机，他把助记词截图发到微信文件传输助手了。还开着相册云同步。那串单词，一旦被别人看到，链上资产就跟你手机上的密码没多大关系了。
改密码的，改的是应用入口，不是资产所有权。我让他先别反复点“修改密码”。
顺序错了。该做的是新建一个干净钱包，生成全新助记词，手抄在纸上，不要截图、别存网盘了。然后把旧钱包剩余资产转到新地址，再检查旧地址有没有授权过陌生合约呢？能撤销就撤销。助记词已经泄露的，旧钱包等于透明保险箱，换锁芯没用。
得换保险箱。这事里最扎心的是老张并不笨。
他懂用硬件钱包，也看过防骗文章，忙起来就把“改密码”和“保资产”混成一件事的。有些人搜tpwallet修改密码。想要的是一键安心，实际得到的只是本地访问权限变更。密码设复杂点、别用生日、开启生物识别了，有价值，别把它当成，最后防线。老张，最后追不回那两笔USDT，只能把剩余资产挪走。重新抄了助记词。
现在他手机里连钱包截图都不留了。修改密码可以做了，先问自己，私钥和助记词有没有离开过自己的手呢？这个顺序搞反，改十次密码也是白改。
