區塊鏈:Crypto冷冬生存指南：安全使用錢包

BlockBeats注：11月12日，FTX在其Telegram社群稱其錢包異動，后稱遭遇黑客攻擊，FTX資產被竊取引發加密社區對資產安全的擔憂。用戶需要重新思考如何以更安全的方式管理他們的資產，如何以更安全的方式使用加密錢包。為此，BlockBeats對GoPlusSecurity聯合創始人@BenWAGMI在推特上關于web3錢包的科普進行整理，內容如下：

自FTX暴雷以來，各大交易平臺儲備金有問題的消息瘋傳，提幣潮愈演愈烈，后續又幾家小交易所倒下，這應該是加密圈有史以來最大提幣運動。我在BitMEX中的資金從未提出過，最近也提冷錢包了。這種核冬天只能窩在地下室，不想沾染任何風險。

很多加密圈新手是沒怎么用過錢包的，也不太清楚錢包的工作原理。本貼就如何用錢包安全地存儲資產從使用和原理進行詳細地說明。你只要讀完這個帖子，嚴格地落實安全方法，你的資產就處于比較高的安全狀態。

什么是私鑰公鑰

鑰密碼學是crypto的基石。公鑰和私鑰的本質就是一對自然數。私鑰是你隨機秘密地生成的，不會展示給任何人。公鑰是根據一定的密碼學算法計算出來的，可以展示展示給他人，根據公鑰無法逆向推導出私鑰。在加密貨幣中把公鑰再進行一定的運算，變為轉賬用的地址。

FT：Crypto.com擁有自營交易和做市團隊，但聲稱不依賴自營交易作為收入來源:6月19日消息，總部位于新加坡的加密交易平臺Crypto.com擁有自營交易和做市團隊，自營交易團隊的唯一目標是賺錢而不是促進交易。但Crypto.com的高管向其他外部交易公司發表了宣誓聲明，稱Crypto.com絕不參與交易。該交易平臺員工也被要求說沒有內部做市商類型的操作。

Crypto.com對此進行回應稱，并未要求員工向其他市場參與者撒謊。平臺有一個在Crypto.com交易平臺運營的內部做市商，該內部做市商的待遇與第三方做市商完全相同，它們同樣促進了我們平臺上的低價差和高效市場。平臺大部分收入來自其面向零售交易者的應用程序，其中Crypto.com是客戶的交易對手方，并以經紀人模式運行。因此，Crypto.com交易團隊通過在包括Crypto.com交易所在內的多個場所對沖這些頭寸，確保Crypto.com的風險中性。平臺上的參與者，包括做市商，都受到平等對待。公司不依賴自營交易作為收入來源。[2023/6/19 21:46:55]

Jump Crypto、Aptos Labs向Binance主導的復蘇基金捐助5000萬美元:金色財經報道，根據一份新聞稿，Aptos Labs和Jump Crypto宣布承諾向幣安牽頭的價值10億美元的行業復蘇計劃 (IRI) 捐助5000萬美元。Jump Crypto和新推出的Aptos區塊鏈背后的實體Aptos Labs與風險投資公司Polygon Ventures和Animoca Brands以及GSR、Kronos和Brooker Group一起為該基金提供資金。

此前消息，Binance公布10億美元行業復蘇計劃簡介，需要時將增至20億美元。[2022/11/25 8:06:20]

電子簽名

公鑰私鑰具體是如何保障加密貨幣運行的呢？依靠的是電子簽名。有一條消息，這條消息經過你的私鑰簽名后會得到一個簽名，廣播到區塊鏈上，別人可以通過你的公鑰驗證這個消息確實是通過你的私鑰簽名的，那就是你發布的。因此誰掌握了私鑰誰就掌握了錢包。

助記詞

由于私鑰就是一長串非常長的數字，對于人類來說基本不具備可讀性和可記性，比特幣社區提出了幾個BIP提議，用一組人類可讀的單詞代替私鑰。本質上這些單詞最后還是轉化成了自然數私鑰，只是對人類肉眼看起來比較友好。助記詞還有更多功能，這里先按下不表。

FTX Crypto Bahamas演講嘉賓包括美國前總統Bill Clinton等:4月25日消息，FTX Crypto Bahamas將于4月26日開幕并持續4天，參與本次會議的演講嘉賓包括英國前首相Tony Blair、7次超級碗冠軍得主Tom Brady、第42任美國總統Bill Clinton、現任巴哈馬總理Philip Davies、方舟投資CEO兼投資總裁Cathie Wood、第13屆美國商品期貨交易委員會CFTC主席J.Christopher Giancario、FTX創始人Sam Bankman-Fried等。[2022/4/25 14:47:46]

私鑰

該如何存儲？顯然區塊鏈存儲資產的最核心是如何保管私鑰或助記詞。私鑰丟了你的資產也就沒了。但這個往往也是小白用戶犯致命錯誤的重災區，因為這個過程是反人性的。但你不可能既要安全，又要自由，又想不付出代價。合格地保管私鑰才是對自己的資產負責的第一步。

首先要知道的第一點是，你的幣并不是在你的錢包軟件/App這個殼子中，而是在你用的區塊鏈網絡中，私鑰對應的地址之下。你的錢是在區塊鏈上的，你完全可以在另一個設備、另一個錢包軟件中導入私鑰，使用同一個賬戶。

Crypto.com承諾四年支持對比特幣安全和網絡協議的研究:金色財經報道，加密貨幣交易所Crypto.com已宣布對麻省理工學院（MIT）媒體實驗室的數字貨幣倡議（DCI）作出新的四年承諾。據Crypto.com的新聞稿稱，這份 \"禮物 \"旨在支持DCI對比特幣安全性的研究。此外，它將為作為網絡基礎的開源開發協議提供支持。Crypto.com希望支持正在進行的研究計劃，以確定收費獎勵的穩定性以及支持穩健性和正確性保證所需的軟件類型。

Crypto.com的首席運營官Eric Anziani稱：麻省理工學院的數字貨幣倡議在建立一個可持續的區塊鏈生態系統中發揮了關鍵作用，特別是通過強化比特幣的底層協議。我們很高興能與這樣一個受人尊敬的機構一起進一步支持全球的區塊鏈研究，并幫助加速世界安全過渡到使用加密貨幣。[2022/4/24 14:44:37]

然后區別兩個概念：冷/熱錢包。私鑰從生成后從來不聯網的，就是冷錢包。因為簽名就是個數學運算，待簽名的消息完全可以通過非網絡的方式傳遞給冷錢包，簽名后再傳回來再發布到網上。另一種是熱錢包，比如手機App錢包，MetaMask等，私鑰在生成后就處于一臺聯網設備中。

我們看看這兩種錢包使用的時候會有哪些問題。

Square Crypto資助比特幣開發人員以改善礦池軟件:金色財經報道，Square Crypto資助了匿名比特幣開發人員Fi3（推特上的@ piccioneLibero2），以支持Stratum V2的實施。Stratum V2是捷克礦業實體Slush的子公司Braiins開發的比特幣挖礦協議軟件的下一個迭代。[2021/1/9 15:41:51]

錢包生成后沒有備份很多新手用戶生成完了錢包直接就不管了，沒有備份。一旦你的手機/電腦出現問題、丟失，這個錢是完全找不回來了，和交易平臺可完全不一樣。所以一定要備份私鑰或助記詞。現在大部分錢包應該都默認給你提供助記詞，很多也提供私鑰，但沒什么必要，備份助記詞即可。

安全地備份助記詞最安全的保存方法，是保存在不聯網且不易丟失和損壞的介質上，比如——抄在紙上，或找一臺不用的、以后永不聯網手機的手機拍個照等。方式是五花八門的，甚至有專用的抗腐蝕、火燒、水淹的鐵板。我自己用的是BitpieWallet的FrozenArmour來保存助記詞。腦子里也備份了一份。

不論什么選擇，只需要記住核心：不易丟失、不易損壞、別人無法接觸到或接觸到了無法使用具體哪種方式對你最安全，取決于你的環境和你的資產量級。你需要根據你的實際情況去評估各種方式的優劣，底該用什么方式。不要照抄別人，別人用紙你就用紙，別人用鐵板你就用鐵板。

這種思想懶惰也會帶來風險。比如有人會選擇強加密后分片放在云盤上，這個看起來觸網了，但實際也比很多人用紙的安全，畢竟有些人紙最后都不知道去哪了。在別人提供的既有方案中，你覺得哪種最好就用哪種。如果你暫時不知道怎么評估，那就寫紙上放鐵盒里把，要記住這是一個你永遠需要動態思考的問題。

下載錢包的注意事項

一定要從官網下載錢包，從百度上胡亂搜索基本都是假錢包。甚至從應用市場里搜索都會碰到仿冒品或者惡意錢包，蘋果AppStore是審核最嚴格的商店都無法杜絕，遑論其他。不論是桌面端插件、安卓APK還是iOS程序。官網都可以直接下載或者給你跳轉到商店下載。

熱錢包的選擇太多了，只要有一定知名度且開源，都可以使用。安全性來說總體沒有太大差別，你只需要考慮順不順手喜不喜歡就好了。我自己的常用的熱錢包：Metamask、rainbow.me、GoPocket。

不要復制/粘貼助記詞

很多朋友在體驗不同的熱錢包時喜歡復制粘貼導來導去，但剪切板本身是一個非常嚴重的泄露私鑰和助記詞的途徑，這基本是一種作死行為。這也是為什么我堅決反對錢包提供私鑰。

正確的方法是拿出你記助記詞的紙來，照著輸入進去。以下是一篇各平臺關于剪切板監控的報告，別人基本上幾行代碼就可以實現。千萬不要因為自己懶就復制粘貼。

安全插件

對于使用桌面端插件錢包的用戶，可以再安裝一些安全插件進一步提升交易的安全性。

安全插件不是提升資金存儲安全的，而是為DeFi和Web3交互提供安全保障，如攔截釣魚網站、惡意合約、惡意代幣等。安全插件并沒有權限去訪問你的其他信息，只會在交易前對你交易的信息進行檢查，如果有問題會對你提出警示。我用的FoxEye。

冷錢包

冷錢包永遠不會讓私鑰觸網，簽名用非互聯網的方式傳遞到聯網終端，所以使用起來比熱錢包更安全一些。但這并不代表絕對安全，有一些坑需要提醒。冷錢包也有很多，我個人用的是：iSafePal、Ledger。

冷錢包使用注意事項：

備份助記詞。你得考慮如果你冷錢包壞了怎么辦。不論冷熱都得備份。一是小心供應鏈攻擊：從官網提供的下單鏈接購買。不要直接淘寶京東搜索，你不知道你買來的錢包是不是真貨，是不是別人刷了有問題的固件進去。買回來最好也刷一下官網的最新固件。

另一種供應鏈攻擊是廠商生產時一些關鍵硬件被掛馬，但這種攻擊作為用戶沒有能力甄別，只能提醒一句沒有絕對的安全。

屏幕很重要：沒有屏幕的冷錢包不要買。冷錢包最終簽名應以錢包硬件屏幕上的信息為準，因為聯網終端的顯示有可能遭到篡改。

對于像以太坊這種有智能合約的鏈，很多簽名不是簡單轉賬。冷錢包的App終端對交易信息的人類可讀解析非常重要。否則做什么都成了盲簽，硬著頭皮簽很嚇人。

檢查固件：更新升級的時候，核對固件文件的哈希。

設置較強的密碼：有些冷錢包每次交易都需要密碼，有些是按session來，有人覺得密碼長了輸入起來很麻煩搞個什么123abc，但你需要考慮如果丟了別人兩下給你按出來怎么辦。如果你真的非常懶又高頻交易還需要冷錢包，建議用有生物識別的產品。

暗錢包功能：有些冷錢包具有暗錢包功能，表面一個錢包，背地里輸入一組特殊口令后還能進入一個新的錢包。甚至口令不同會進入不同的錢包，也即不存在輸錯口令這個概念因為任何口令都正確，只是除了你設置的那個外其余的錢包是空的，別人很難蒙出來。這種適合狡兔三窟的朋友，可以進一步提升安全性。

半托管智能合約錢包

還有一種特殊類型的基于智能合約錢包，是半托管的，你的資產管理和保存權限有一部分是由其他人給你保障的，從而消除你需要記錄助記詞的問題。舉兩個例子，一是使用MPC或SSS的錢包，將你的私鑰分成兩片，一片加密后放在你的GoogleDrive上，一片放在自己的服務器中。二是社交恢復錢包，你指定幾個守護者，如果你本地的EOA私鑰丟了可以讓守護者在智能合約上指定新的EOA。這種類型的錢包我常用的是ZenGo、argentHQ。

這種聽起來好像很酷，你是不需要記錄助記詞了，對新手也比較友好，也非常符合區塊鏈massadoption的keyless的遠景。但實際新的問題也接踵而至：托管服務商跑路了怎么辦？你的守護人合伙把你坑了怎么辦？

想體驗這種錢包可以嘗試一下，但和上面的冷熱錢包一樣，一定要清楚背后的原理和各種tradeoff，才能放心使用，否則就是往坑里跳。現階段我一般不會推薦新手直接使用這種錢包，我認為還不成熟，但我認為日后可能會成為第一選擇。

結尾

好了先寫這么多吧，這些錢包資產存儲的基礎知識已經足夠武裝一個新手用戶了。但其實還有很多問題和細節限于篇幅沒法展開了。我相信大家看下來的第一感受是：『區塊鏈太可怕了，我不想用了』。

是的，放到加密交易平臺是最簡單省事的，但最近來看也是非常不安全的，我們不得不尋找最優解，涉及到錢多花點力氣我覺得還是挺值得的。

Tags：區塊鏈FTX加密貨幣區塊鏈工程專業學什么區塊鏈存證怎么弄區塊鏈技術發展現狀和趨勢FTX幣FTX價格加密貨幣是什么意思啊加密貨幣市場還有未來嗎知乎全球十大加密貨幣

瑞波幣