DEFI:私钥迷云：你在交易所/钱包/DeFi里的币到底是在谁手里？_Metaegg DeFi

作者：

时间：

问个问题，在币圈的你，你的币在哪里？

在交易所里？在自己的钱包里？在中心化钱包里？在某样理财钱包里？在DeFi里借贷？在挖矿？还是在哪呢。

昨天出的事情让很多人瞬间开始学习“私钥”、“多签”等相关知识，因为他们不知道，为什么他们的币提不了了，什么时候能提呢？

并且看到了这么一个截图，看来很多人对他们放币的冷钱包，还是知之甚少呀：

所以还是回到我们的主题上来，除了币在自己掌握私钥的钱包里的朋友，其他的朋友们，你们真的知道你们的币在哪里吗?

接下来我们好好聊聊这事儿，分不同情况聊聊。

加密罪犯试图利用2400个泄露私钥的加密钱包代领Arbitrum空投:金色财经报道，据Arkham Intelligence和GitHub上的一篇文章披露，加密罪犯试图利用2400个泄露私钥的加密钱包申请Arbitrum空投。如果该计划成功，可以净赚约300万个ARB代币，占用户空投的0.26%。这名加密罪犯向大约2400个钱包发送了以太坊，以批准一份允许收件人领取空投的合同，空投定于周四进行。

由于恶意行为者知道钱包的私钥，钱包所有者不一定能阻止它们。他们能做的就是撤销已经建立的合同。但即使这样，他们仍然需要在黑客之前手动要求空投。[2023/3/22 13:18:01]

一、币在交易所里

动态 | 安全专家推出新工具帮助开发人员发现泄密文件避免公共代码库用户私钥被盗:10月17日，程序员和安全专家Paul Price推出新工具Shhgit，可以帮助开发人员实时发现任何意外泄露的机密，给开发人员事件删除任何敏感信息，如GitHub代码库中用户私钥等，以免黑客窃取任何人的私人信息。（Cointelegraph）[2019/10/30]

这应该是目前最为主流的情况了，我个人除了冷钱包之外，也有许多币在交易所里，可能是做一些投资，做一些理财，做一些套利对冲之类的，总之，交易所里完全没币也不可能。

那么我们放在交易所里的币，到底在哪里？

分析 | 攻击者控制了 GateHub 数据库里的部分账号 API 权限，不过用户私钥是安全的:慢雾安全团队通过链上行为分析可以得知：攻击者最早于 05/29/2019 12:14 UTC 时间通过 CoinPayments 创建并激活了攻击者的第一个“攻击者账号”（rN5Gm1FijbTVeYFfpTRfGKfNZQY7hc9TbN），攻击者在 05/30/2019 12:23 UTC 时间攻击 GateHub 第一个账号（控制了这个账号的有关权限），并通过这个被攻击的账号创建并激活了第二个“攻击者账号”（r9do2Ar8k64NxgLD6oJoywaxQhUS57Ck8k），之后第二个“攻击者账号”还创建并激活了第三个“攻击者账号”（rpBDxqWArAQTEfPeWwkUvBh1cbc885nirX），之后攻击者攻击了 GateHub 至少 103 个账号，最后一次攻击时间是 06/01/2019 18:40 UTC 时间，并通过这三个“攻击者账号”完成洗币操作。慢雾安全团队通过相关分析推测攻击者至少是控制了 GateHub 数据库里的部分账号 API 权限，不过用户私钥是安全的。攻击持续三天多的时间才被阻止，该平台的用户应立即转移资产并更新账号相关权限。[2019/6/8]

一般来讲，交易所的钱包分成热钱包和冷钱包，热钱包一般由“钱包组”管理，处理日常的提现，这里一般有个团队负责，大部分金额也不大，动用不到冷钱包，每天做个统计就完事儿。

动态 | Bitfinex、Coinbase等交易所未通过私钥证明测试:据trustnodes报道，根据比特币投资者Trace Mayer运营的网站，许多交易所均未通过昨日的私钥证明（PoK）测试。Mayer表示，到目前为止，失败的交易所包括HitBTC、PurseIO、Bitfinex、Poloniex和Coinbase。[2019/1/5]

最核心的还是在于冷钱包，也就是交易所帮用户保管加密资产的地方，类似于区块链世界的“银行地底下仓库的保险柜”，那么谁掌握这个保险柜的密码呢？

这个密码其实就是能给交易签名的私钥，一般我们说的“多签”就是多人持有“保险柜的密码”，得一块儿签名同意了，才能打开，光靠一个人是打不开的。

所以你的币可能并不在一个人手里，成熟的交易所，都是多签。多签有多种形式，可能是五个人持有私钥，其中3个人签名就可以提。大概是这样，人可能更多，可能更少，逻辑是这么个逻辑。这也是为什么之前bitmexCTO被捕，他们依然能够提现的原因。

所以放交易所里，你的币在谁手里？最核心还是在于大老板，其次是一些有权力的高管。大部分交易所都会分散开持有私钥的高管们，尽量在不同国家/地区，避免同时被不可抗力影响，导致交易所无法正常运营。

当然，除了避免外部风险之外，也得避免某个人想把交易所资产一股脑卷走的风险。

所以币放交易所里的朋友，最核心的是几个高管，你们得天天祈祷他们别出啥事儿。

二、在钱包里

钱包分成中心化钱包--就是“云端钱包”、“在线钱包”之类的，还有去中心化钱包--冷钱包、硬件钱包之类。

冷钱包自然不用多说，自己保管私钥。那么云端钱包呢？就是你注册个账号密码就可以用的那种钱包，私钥又在谁手上呢？

当然其实也显而易见了，就是钱包运营方手上。

一般优质的在线钱包能提供更加好的体验，不用一个币一个钱包，一个账户一网打尽：

而且转账需要的不是私钥签名，而是手机验证码、谷歌验证码、人脸识别等，也让更多朋友用起来更舒服，不用担心丢私钥。