錢包安全操作不規范 傾家蕩產只需5分鐘 : 資深從業者的建議一定要聽

最近，關于加密貨幣錢包的安全事件不斷出現在媒體上：

7月10日，硬件錢包Trezor被曝僅用5分鐘即可提取出密鑰種子，且漏洞無法通過補丁修復。7月12日，Dash官方推特發布警告，稱錢包MyDashWallet出現漏洞。據此前消息，有用戶反饋稱價值數百萬人民幣的Dash幣遭惡意竊取。

加密資產的安全一直是重中之重，然而很多用戶的安全意識薄弱，對錢包的相關知識知之甚少。

今天，白話區塊鏈文字采訪了比太錢包創始人比特派錢包開發者文浩和imToken中國區運營負責人Simon，以便能從更多角度幫助大家了解加密資產錢包這方面的問題。

01Trezor和Dash錢包有何安全問題？

比特派：首先，Trezor沒出安全問題，MyDashWallet是出了安全問題，這不是一回事。

先說下MyDashWallet，我們從2014年開始就建議用戶盡量不要使用網頁錢包，因為網頁錢包的安全天花板最低，瀏覽器插件、惡意代碼注入、釣魚鏈接等等對于網頁錢包都是致命的，當然還包括不安全的隨機數環境。MyDashWallet只不過是又給網頁錢包糟糕的安全記錄和丟幣歷史里增加新的一個案例而已。

慢霧升級Web3錢包安全審計項:金色財經報道，加密安全公司慢霧官方宣布升級Web3錢包安全審計項，具體包括針對瀏覽器擴展錢包的安全審計項、針對移動端和桌面端錢包的安全審計項，旨在盡可能地保證 Web3 錢包客戶端上的安全，降低加密貨幣資產被盜的風險。此外，慢霧安全團隊提出用戶交互過程的安全審計，包含：WYSIWYS（所見即所簽策略）；AML 策略；anti-phishing 策略；pre-execution 策略等多個策略來抵御黑客的攻擊。[2023/6/6 21:19:11]

而Trezor的事情是另一回事，在過去一段時間Ledger一直用一個所謂的Ledger安全實驗室的名義來發布文章攻擊Trezor的安全性，但其實對于Ledger的攻擊，Trezor早在幾個月前就已經做過正面并且清楚的回復了，前幾天再次傳播的報道其實仍然是幾個月前的內容，并沒什么新鮮的。

對于硬件錢包來說，100%做到絕對防范物理攻擊是不可能的，大家只能努力增加物理攻擊的難度罷了。

硬件錢包的真正目的是要做到冷錢包，預防一個遠在天涯海角的黑客通過互聯網把你的幣轉走。如果您希望連物理攻擊都能防御，使用密碼賬戶就好了，這樣即便是攻擊者搶走了你的硬件錢包，沒有密碼也沒有用。

Ledger聯創反駁Charles Hoskinson：開源固件錢包安全性較低:5月20日消息，Ledger聯合創始人Eric Larchevêque澄清說，最新的Recover固件更新中沒有“后門”。Larchevêque還駁斥Cardano創始人Charles Hoskinson的說法，后者聲稱開源軟件總是比閉源軟件更好。Larchevêque警告稱，由于安全風險增加，開源是危險的。Ledger是包含閉源固件的硬件錢包。Larchevêque表示，開源錢包配有常規硬件，但安全性較低，而閉源錢包具有安全元件，可提供更高級別的安全性。當插入硬件以刷新固件時，可能會發生供應鏈攻擊，而“全息密封”（holographic seal）減輕了一些風險，但它無法有效防止制造商級別的攻擊。[2023/5/20 15:15:49]

imToken：關于Trezor錢包，它使用的是單片機結構，類似一臺微型服務器，是通過程序來控制訪問私鑰的權限，所以存在被繞過和利用的可能。比如程序邏輯漏洞或者一定情況下的內存讀取等，核心來講還是要使用安全存儲級別更高的加密芯片來保障訪問及使用的安全。

對于MyDashWallet，這次的問題大致是使用的Script腳本被惡意篡改，導致用戶私鑰傳輸到了黑客的服務器上，而且受影響的時間長達兩個月，給用戶資產安全帶來很重大的影響。

慢霧科技啟富：去中心化錢包安全核心在于私鑰、助記詞的存儲及加密:11月6日消息，慢霧科技合伙人啟富在做客《HyperPay焦點》欄目時提及：去中心化錢包的安全涉及到很多方面，最核心的是對私鑰、助記詞的存儲及加密。用戶在選擇錢包時盡量選擇國際知名、一流的錢包，同時注意看錢包App的代碼是否開源、代碼是否經過安全審計、團隊內是否有CSO或安全負責人，這些都可能影響到錢包不斷迭代、升級過程中的安全是否有保障。同時，作為用戶一定要從錢包的官網下載App，避免誤入釣魚網站下載到被植入了后門的錢包App。[2020/11/6 11:51:30]

關于在線的網頁錢包，有太多可能被攻擊的方面，比如類似之前MyEtherWallet因為DNS解析污染導致用戶訪問了黑客構造的惡意腳本，還有就是大量依賴的第三方程序出現漏洞，或者自身服務器被攻擊等都會出現安全問題。

所以，一般的錢包安全等級是：網頁錢包<App錢包<硬件錢包。當然具體還要看開發和運營的項目方對安全的維護能力及重視程度。

02錢包使用如何降低門檻？

比特派：說到錢包的門檻，助記詞是繞不過去的，無論如何用戶都需要自行保管助記詞，想繞開這一門檻的用戶就把幣留在交易平臺，盡量留在較大的交易平臺里，風險會小一些。區塊鏈歷史上交易平臺跑路的案例太多了，所以請自行評估相關風險。

李啟元：錢包安全性過高會提高對用戶技術成熟度的要求:9月17日，前比特幣中國CEO李啟元（Bobby Lee）發推稱，安全總是伴隨著技術障礙。更高的安全性提高了對用戶技術成熟度的要求。對大多數人來說，使用過度安全的錢包有一個不容忽視的缺點：可能會由于用戶失誤導致資金的濫用和損失。[2020/9/17]

當前的主流錢包已經在盡可能地降低用戶的門檻了，如果真能保管好12個助記詞，后續的錢包操作其實就已經很小白化了。

imToken：數字錢包的使用門檻主要還是在私鑰備份及存儲這一層面，其實包括以太坊社區，很多技術開發者都在關注這一問題。像多簽錢包，EOS的多賬戶私鑰權重，主賬戶子賬戶等，都是在對如何更安全的使用私鑰進行探索，讓私鑰管理的容錯性更高一些。但目前私鑰依然存在，并且需要直接暴露給用戶，由用戶進行最終的存儲和管理。所以這個門檻沒有實質性的降低。

我們認為錢包的終極形態即是人鏈交互系統，將人與區塊鏈無縫的進行融合。

03如何安排錢包和交易平臺的存放比例？

imToken：安全策略是因人而異和靈活的。對于大多數用戶而言，需要頻繁操作的資產可以放在交易平臺。如果想長期持有某些Token，還是建議購買一款硬件錢包。

動態 | Coinbase提交關于提高加密貨幣錢包安全性的專利:據悉，Coinbase已經提交了一項專利，涉及一項旨在提高加密貨幣錢包安全性的新技術。Coinbase的專利于2018年8月14日提交給美國專利和商標局（USPTO）。這樣做的目的是確保用戶可以在不影響其安全性的情況下，從他們的比特幣錢包中直接付款。[2018/8/21]

比特派：50%以上、不用來交易或很少使用的Token，應該存在冷錢包里;20%-30%日常使用的Token可以放在熱錢包；20%-30%甚至更多需要用來交易的Token存在交易平臺里。

04挑選錢包時需要考慮哪些因素？

imToken：現在的數字錢包如雨后春筍一般，品質也參差不齊，近兩年市場上更是出現了一大批資金盤錢包和CX錢包，像PlusToken、MGC等。我認為用戶在選擇錢包時候應該注意以下幾點：

首先,選擇品牌影響力和口碑俱佳的錢包。用戶選擇使用第三方提供的錢包，最重要的就是信任這個工具，用戶可以在選擇錢包之前進行一些調研，選擇用戶量多，市場存在時間長，沒有發生過安全問題的錢包。

其次,選擇可以離線生成并管理私鑰的錢包，即可以作為冷錢包使用的錢包。我覺得這點比錢包開源還要重要，因為錢包開源也會存在一些問題，比如真正的產品發布所使用的代碼是不是和開源代碼完全一致，有沒有將用戶的私鑰上傳到自己的服務器等等。如果用戶將手機網絡關閉，依然能夠生成錢包，那么可以證明該錢包不是通過錢包商服務器生成的。同時，用戶也可以通過手機代理的方式來查看網絡請求，看看是否有傳輸密鑰的情況。

最后,用戶可以關注一下開源錢包。對于開源這件事，大家要客觀看待，因為開源≠安全。開源和安全應該是一個相互促進的關系，代碼開源后，可以得到更多優秀開發者的關注，自然能夠提高安全等級。

比特派：大額冷存儲必須用開源的冷錢包和硬件錢包。日常使用的錢包應該考慮的是有著良好的安全口碑，并且有著非常有實力且能保持著良好迭代速度的團隊所開發的錢包。

05操作錢包時有哪些注意事項？

imToken：我之前有提出一個「錢包安全10不原則」基本上很好的覆蓋了用戶在使用錢包時需要注意的事項：

1.不使用未備份的錢包2.不使用郵件傳輸或存儲私鑰3.不使用微信收藏或云備份存儲私鑰4.不要截屏或拍照保存私鑰5.不使用微信、QQ傳輸私鑰6.不要將私鑰告訴身邊的人7.不要將私鑰發送到群里8.不使用第三方提供的未知來源錢包應用9.不使用他人提供的AppleID10.不要將私鑰導入未知的第三方網站

用戶資產被盜的事件起因五花八門，有使用不安全錢包導致資產丟失的，當然更多的是因為自身管理儲存私鑰不當。比較常見的被盜情況就是“監守自盜”這種類型，比如和身邊的朋友、合伙人共同管理一把私鑰，或者不小心將私鑰泄露給身邊的人，因為區塊鏈具有匿名性，所以很容易出現這種情況。

用戶要時刻意識到，私鑰要自己保管，不要告訴任何人，也不要通過任何即時通訊軟件傳播。

比特派：助記詞的保管是最重要的，因為不恰當地保管助記詞所導致的丟幣和幣被盜實在是太多了。

06如何挑選硬件錢包？

比特派：挑選硬件錢包有幾大要素：1.開源；2.有屏幕；3.能一直保持良好迭代的錢包團隊；4.架構合理，價格也合理。

imToken：硬件錢包的普及率還是比較低的，絕大多數用戶對硬件錢包不甚了解。但我建議，大額資產還是使用硬件錢包進行存儲。

在建議用戶選擇硬件錢包這方面，一定要選擇有較高等級安全芯片的硬件錢包。因為市面上有些硬件錢包依然是建立在安卓系統上的，即便是采用開源代碼，也會存在較大的安全隱患，因為硬件錢包是軟件和硬件的結合，軟件層面沒問題，不代表硬件層面不會出現問題。

關于開源的問題，我上邊也談到了開源≠安全，有個蠻有趣的問題可以思考一下：是閉源的蘋果系統安全，還是開源的安卓系統安全？

我認為，一些場景下閉源反而會增大黑客攻擊的難度。

07如何識別詐騙錢包？

imToken：超高收益和拉人頭等具有明顯CX和資金盤行為的項目，都需要引起用戶注意。

其實，用戶不是無法辨別什么是資金盤錢包，而是被高利益吸引，失去了理智。imToken之前在曝光MGC錢包的時候，有很多用戶和我們說:我知道MGC是騙子項目，但是只要讓更多人上當受騙，我就可以賺錢，你們這樣曝光，就沒有人上當了，我就要虧錢了。

所以，這不是如何幫助用戶識別騙局的問題，而是人性的問題。龐氏騙局存在整整100年了，依然屢試不爽。還是希望用戶能夠理智一些，天上是不會掉餡餅的。

比特派：高利息的肯定是詐騙。錢包是用戶自己保管私鑰，私鑰本身又沒有高利息，如果公鏈有著Staking模型那當然是另一回事。所以，詐騙肯定是一眼就能看出來的。

08PoS區塊鏈節點是否會成為錢包發展方向？

比特派：新公鏈一般都是PoS模型，也就會有Staking的收益和相關機制，而新公鏈在設計這塊的時候，都會做成是錢包的場景。

我們已經開始為用戶提供Staking服務了，這塊的布局對我們來說是很自然的一件事情，未來主要的Sktaing公鏈我們都會提供一鍵Staking的服務，讓用戶更方便地使用相關功能。

imToken：我覺得錢包是Staking的天然平臺，可以和PoS進行完美的融合。這會是錢包未來的一個重要業務。

我們團隊也很關注Staking經濟的發展，第一時間支持Cosmos公鏈和ATOM的Staking服務。同樣，我們也對波卡等社區熱門的優質項目保持關注，會在第一時間支持這些項目。

Tags：KENTOKENTOKTOKEXTOKEN價格Doge Father TokenfcntokenLouie Duck Token

KuCoin