钱包安全操作不规范 倾家荡产只需5分钟 : 资深从业者的建议一定要听

最近，关于加密货币钱包的安全事件不断出现在媒体上：

7月10日，硬件钱包Trezor被曝仅用5分钟即可提取出密钥种子，且漏洞无法通过补丁修复。7月12日，Dash官方推特发布警告，称钱包MyDashWallet出现漏洞。据此前消息，有用户反馈称价值数百万人民币的Dash币遭恶意窃取。

加密资产的安全一直是重中之重，然而很多用户的安全意识薄弱，对钱包的相关知识知之甚少。

今天，白话区块链文字采访了比太钱包创始人比特派钱包开发者文浩和imToken中国区运营负责人Simon，以便能从更多角度帮助大家了解加密资产钱包这方面的问题。

01Trezor和Dash钱包有何安全问题？

比特派：首先，Trezor没出安全问题，MyDashWallet是出了安全问题，这不是一回事。

先说下MyDashWallet，我们从2014年开始就建议用户尽量不要使用网页钱包，因为网页钱包的安全天花板最低，浏览器插件、恶意代码注入、钓鱼链接等等对于网页钱包都是致命的，当然还包括不安全的随机数环境。MyDashWallet只不过是又给网页钱包糟糕的安全记录和丢币历史里增加新的一个案例而已。

V神：为长期可持续发展，以太坊需进行Layer2扩展、钱包安全和隐私三项转变:金色财经报道，以太坊联合创始人Vitalik Buterin在最新的博客文章中指出，以太坊要想长期可持续发展，需要经历三项主要的技术转变，分别为Layer2扩展、钱包安全和隐私。他表示，需要改进的不仅仅是协议的功能。在某些情况下，我们与以太坊交互的方式需要从根本上改变，需要对应用程序和钱包进行深刻的改变。由于以太坊之上存在多种不同的扩展解决方案，现在用户很难只有一个地址，因此有必要构建Layer2区块链的跨链解决方案。而这必须在智能合约钱包和隐私进一步发展的同时实现。[2023/6/12 21:30:26]

而Trezor的事情是另一回事，在过去一段时间Ledger一直用一个所谓的Ledger安全实验室的名义来发布文章攻击Trezor的安全性，但其实对于Ledger的攻击，Trezor早在几个月前就已经做过正面并且清楚的回复了，前几天再次传播的报道其实仍然是几个月前的内容，并没什么新鲜的。

对于硬件钱包来说，100%做到绝对防范物理攻击是不可能的，大家只能努力增加物理攻击的难度罢了。

硬件钱包的真正目的是要做到冷钱包，预防一个远在天涯海角的黑客通过互联网把你的币转走。如果您希望连物理攻击都能防御，使用密码账户就好了，这样即便是攻击者抢走了你的硬件钱包，没有密码也没有用。

加密钱包安全公司Fordefi完成1800 万美元种子轮融资:金色财经报道，加密钱包安全公司Fordefi宣布获得1800 万美元的种子轮融资，并公开推出其用于在去中心化应用程序 (dApps) 上进行交易的机构MPC钱包。Lightspeed Venture Partners领投，Electric Capital、Alameda Research、Jump Crypto、Castle Island、Pantera Capital、Illuminate Financial、PayPal Alumni Fund、Nima Capital、Digital Currency Group、Defiance Capital 和 StarkWare等参投。[2022/11/8 12:33:46]

imToken：关于Trezor钱包，它使用的是单片机结构，类似一台微型服务器，是通过程序来控制访问私钥的权限，所以存在被绕过和利用的可能。比如程序逻辑漏洞或者一定情况下的内存读取等，核心来讲还是要使用安全存储级别更高的加密芯片来保障访问及使用的安全。

对于MyDashWallet，这次的问题大致是使用的Script脚本被恶意篡改，导致用户私钥传输到了黑客的服务器上，而且受影响的时间长达两个月，给用户资产安全带来很重大的影响。

前BitGo、Curv高管推出新的加密钱包安全公司Fordefi:11月5日消息，前BitGo、Curv高管Josh Schwartz推出新的加密钱包安全公司Fordefi，Fordefi提供了一个允许机构参与各种链的钱包平台。

Fordefi表示，使用安全的多方计算 (MPC) 以一种更难以妥协的方式分配用户的私钥，它将允许用户自动化他们与区块链和智能合约的互动。Fordefi的25人团队位于以色列和纽约，其中包括Michael Volfman和Dima Kogan。该公司聘请了斯坦福大学的加密货币教授Dan Boneh和前Curv首席执行官Itay Malinger作为顾问。(The Block)[2022/11/5 12:18:25]

关于在线的网页钱包，有太多可能被攻击的方面，比如类似之前MyEtherWallet因为DNS解析污染导致用户访问了黑客构造的恶意脚本，还有就是大量依赖的第三方程序出现漏洞，或者自身服务器被攻击等都会出现安全问题。

所以，一般的钱包安全等级是：网页钱包<App钱包<硬件钱包。当然具体还要看开发和运营的项目方对安全的维护能力及重视程度。

02钱包使用如何降低门槛？

TronLink波宝钱包安卓v3.7.1正式发布:据官方消息，波宝钱包安卓最新版本v3.7.1正式发布。该版本主要改版了投票功能，并且优化了行情页面及钱包管理交互。TronLink波宝钱包是目前波场TRON生态中用户量最大的去中心化钱包，其产品已经累计为超过30万的波场用户提供服务。[2020/8/8]

比特派：说到钱包的门槛，助记词是绕不过去的，无论如何用户都需要自行保管助记词，想绕开这一门槛的用户就把币留在交易平台，尽量留在较大的交易平台里，风险会小一些。区块链历史上交易平台跑路的案例太多了，所以请自行评估相关风险。

当前的主流钱包已经在尽可能地降低用户的门槛了，如果真能保管好12个助记词，后续的钱包操作其实就已经很小白化了。

imToken：数字钱包的使用门槛主要还是在私钥备份及存储这一层面，其实包括以太坊社区，很多技术开发者都在关注这一问题。像多签钱包，EOS的多账户私钥权重，主账户子账户等，都是在对如何更安全的使用私钥进行探索，让私钥管理的容错性更高一些。但目前私钥依然存在，并且需要直接暴露给用户，由用户进行最终的存储和管理。所以这个门槛没有实质性的降低。

我们认为钱包的终极形态即是人链交互系统，将人与区块链无缝的进行融合。

动态 | TronLink波宝钱包安卓v3.3.0正式发布:据官方最新消息，波宝钱包安卓最新版本v3.3.0今日正式发布。该版本更全面地支持了波场网络中的高阶功能，允许用户深度参与波场网络建设，同时提供了更加灵活易用的第三方调用解决方案。TronLink波宝钱包是一款安全、全面、专业的波场钱包，也是目前波场TRON生态中用户量最大的去中心化钱包，其产品已经累计为超过30万的波场用户提供服务。[2019/12/13]

03如何安排钱包和交易平台的存放比例？

imToken：安全策略是因人而异和灵活的。对于大多数用户而言，需要频繁操作的资产可以放在交易平台。如果想长期持有某些Token，还是建议购买一款硬件钱包。

比特派：50%以上、不用来交易或很少使用的Token，应该存在冷钱包里;20%-30%日常使用的Token可以放在热钱包；20%-30%甚至更多需要用来交易的Token存在交易平台里。

04挑选钱包时需要考虑哪些因素？

imToken：现在的数字钱包如雨后春笋一般，品质也参差不齐，近两年市场上更是出现了一大批资金盘钱包和CX钱包，像PlusToken、MGC等。我认为用户在选择钱包时候应该注意以下几点：

首先,选择品牌影响力和口碑俱佳的钱包。用户选择使用第三方提供的钱包，最重要的就是信任这个工具，用户可以在选择钱包之前进行一些调研，选择用户量多，市场存在时间长，没有发生过安全问题的钱包。

其次,选择可以离线生成并管理私钥的钱包，即可以作为冷钱包使用的钱包。我觉得这点比钱包开源还要重要，因为钱包开源也会存在一些问题，比如真正的产品发布所使用的代码是不是和开源代码完全一致，有没有将用户的私钥上传到自己的服务器等等。如果用户将手机网络关闭，依然能够生成钱包，那么可以证明该钱包不是通过钱包商服务器生成的。同时，用户也可以通过手机代理的方式来查看网络请求，看看是否有传输密钥的情况。

最后,用户可以关注一下开源钱包。对于开源这件事，大家要客观看待，因为开源≠安全。开源和安全应该是一个相互促进的关系，代码开源后，可以得到更多优秀开发者的关注，自然能够提高安全等级。

比特派：大额冷存储必须用开源的冷钱包和硬件钱包。日常使用的钱包应该考虑的是有着良好的安全口碑，并且有着非常有实力且能保持着良好迭代速度的团队所开发的钱包。

05操作钱包时有哪些注意事项？

imToken：我之前有提出一个「钱包安全10不原则」基本上很好的覆盖了用户在使用钱包时需要注意的事项：

1.不使用未备份的钱包2.不使用邮件传输或存储私钥3.不使用微信收藏或云备份存储私钥4.不要截屏或拍照保存私钥5.不使用微信、QQ传输私钥6.不要将私钥告诉身边的人7.不要将私钥发送到群里8.不使用第三方提供的未知来源钱包应用9.不使用他人提供的AppleID10.不要将私钥导入未知的第三方网站

用户资产被盗的事件起因五花八门，有使用不安全钱包导致资产丢失的，当然更多的是因为自身管理储存私钥不当。比较常见的被盗情况就是“监守自盗”这种类型，比如和身边的朋友、合伙人共同管理一把私钥，或者不小心将私钥泄露给身边的人，因为区块链具有匿名性，所以很容易出现这种情况。

用户要时刻意识到，私钥要自己保管，不要告诉任何人，也不要通过任何即时通讯软件传播。

比特派：助记词的保管是最重要的，因为不恰当地保管助记词所导致的丢币和币被盗实在是太多了。

06如何挑选硬件钱包？

比特派：挑选硬件钱包有几大要素：1.开源；2.有屏幕；3.能一直保持良好迭代的钱包团队；4.架构合理，价格也合理。

imToken：硬件钱包的普及率还是比较低的，绝大多数用户对硬件钱包不甚了解。但我建议，大额资产还是使用硬件钱包进行存储。

在建议用户选择硬件钱包这方面，一定要选择有较高等级安全芯片的硬件钱包。因为市面上有些硬件钱包依然是建立在安卓系统上的，即便是采用开源代码，也会存在较大的安全隐患，因为硬件钱包是软件和硬件的结合，软件层面没问题，不代表硬件层面不会出现问题。

关于开源的问题，我上边也谈到了开源≠安全，有个蛮有趣的问题可以思考一下：是闭源的苹果系统安全，还是开源的安卓系统安全？

我认为，一些场景下闭源反而会增大黑客攻击的难度。

07如何识别钱包？

imToken：超高收益和拉人头等具有明显CX和资金盘行为的项目，都需要引起用户注意。

其实，用户不是无法辨别什么是资金盘钱包，而是被高利益吸引，失去了理智。imToken之前在曝光MGC钱包的时候，有很多用户和我们说:我知道MGC是子项目，但是只要让更多人上当受，我就可以赚钱，你们这样曝光，就没有人上当了，我就要亏钱了。

所以，这不是如何帮助用户识别局的问题，而是人性的问题。庞氏局存在整整100年了，依然屡试不爽。还是希望用户能够理智一些，天上是不会掉馅饼的。

比特派：高利息的肯定是。钱包是用户自己保管私钥，私钥本身又没有高利息，如果公链有着Staking模型那当然是另一回事。所以，肯定是一眼就能看出来的。

08PoS区块链节点是否会成为钱包发展方向？

比特派：新公链一般都是PoS模型，也就会有Staking的收益和相关机制，而新公链在设计这块的时候，都会做成是钱包的场景。

我们已经开始为用户提供Staking服务了，这块的布局对我们来说是很自然的一件事情，未来主要的Sktaing公链我们都会提供一键Staking的服务，让用户更方便地使用相关功能。

imToken：我觉得钱包是Staking的天然平台，可以和PoS进行完美的融合。这会是钱包未来的一个重要业务。

我们团队也很关注Staking经济的发展，第一时间支持Cosmos公链和ATOM的Staking服务。同样，我们也对波卡等社区热门的优质项目保持关注，会在第一时间支持这些项目。

标签：TOKTOKETOKENKENBancor Governance TokenhmtokenDopex Rebate TokenZGLYSB Token

MATIC热门资讯