钱包安全操作不规范 倾家荡产只需5分钟 : 资深从业者的建议一定要听

最近，关于加密货币钱包的安全事件不断出现在媒体上：

7月10日，硬件钱包Trezor被曝仅用5分钟即可提取出密钥种子，且漏洞无法通过补丁修复。7月12日，Dash官方推特发布警告，称钱包MyDashWallet出现漏洞。据此前消息，有用户反馈称价值数百万人民币的Dash币遭恶意窃取。

加密资产的安全一直是重中之重，然而很多用户的安全意识薄弱，对钱包的相关知识知之甚少。

今天，白话区块链文字采访了比太钱包创始人比特派钱包开发者文浩和imToken中国区运营负责人Simon，以便能从更多角度帮助大家了解加密资产钱包这方面的问题。

01Trezor和Dash钱包有何安全问题？

比特派：首先，Trezor没出安全问题，MyDashWallet是出了安全问题，这不是一回事。

先说下MyDashWallet，我们从2014年开始就建议用户尽量不要使用网页钱包，因为网页钱包的安全天花板最低，浏览器插件、恶意代码注入、钓鱼链接等等对于网页钱包都是致命的，当然还包括不安全的随机数环境。MyDashWallet只不过是又给网页钱包糟糕的安全记录和丢币历史里增加新的一个案例而已。

V神：为长期可持续发展，以太坊需进行Layer2扩展、钱包安全和隐私三项转变:金色财经报道，以太坊联合创始人Vitalik Buterin在最新的博客文章中指出，以太坊要想长期可持续发展，需要经历三项主要的技术转变，分别为Layer2扩展、钱包安全和隐私。他表示，需要改进的不仅仅是协议的功能。在某些情况下，我们与以太坊交互的方式需要从根本上改变，需要对应用程序和钱包进行深刻的改变。由于以太坊之上存在多种不同的扩展解决方案，现在用户很难只有一个地址，因此有必要构建Layer2区块链的跨链解决方案。而这必须在智能合约钱包和隐私进一步发展的同时实现。[2023/6/12 21:30:26]

而Trezor的事情是另一回事，在过去一段时间Ledger一直用一个所谓的Ledger安全实验室的名义来发布文章攻击Trezor的安全性，但其实对于Ledger的攻击，Trezor早在几个月前就已经做过正面并且清楚的回复了，前几天再次传播的报道其实仍然是几个月前的内容，并没什么新鲜的。

对于硬件钱包来说，100%做到绝对防范物理攻击是不可能的，大家只能努力增加物理攻击的难度罢了。

硬件钱包的真正目的是要做到冷钱包，预防一个远在天涯海角的黑客通过互联网把你的币转走。如果您希望连物理攻击都能防御，使用密码账户就好了，这样即便是攻击者抢走了你的硬件钱包，没有密码也没有用。

Ledger联创反驳Charles Hoskinson：开源固件钱包安全性较低:5月20日消息，Ledger联合创始人Eric Larchevêque澄清说，最新的Recover固件更新中没有“后门”。Larchevêque还驳斥Cardano创始人Charles Hoskinson的说法，后者声称开源软件总是比闭源软件更好。Larchevêque警告称，由于安全风险增加，开源是危险的。Ledger是包含闭源固件的硬件钱包。Larchevêque表示，开源钱包配有常规硬件，但安全性较低，而闭源钱包具有安全元件，可提供更高级别的安全性。当插入硬件以刷新固件时，可能会发生供应链攻击，而“全息密封”（holographic seal）减轻了一些风险，但它无法有效防止制造商级别的攻击。[2023/5/20 15:15:49]

imToken：关于Trezor钱包，它使用的是单片机结构，类似一台微型服务器，是通过程序来控制访问私钥的权限，所以存在被绕过和利用的可能。比如程序逻辑漏洞或者一定情况下的内存读取等，核心来讲还是要使用安全存储级别更高的加密芯片来保障访问及使用的安全。

对于MyDashWallet，这次的问题大致是使用的Script脚本被恶意篡改，导致用户私钥传输到了黑客的服务器上，而且受影响的时间长达两个月，给用户资产安全带来很重大的影响。

华为公开“安全芯片及处理方法”专利，可提升区块链钱包安全性:金色财经报道，华为申请的“一种安全芯片、安全处理方法及相关设备”发明专利日前被公开，申请号CN201980094248.X，申请公布号CN113574828A。该专利可提升区块链钱包的安全性，安全元件包括处理器、第一存储器和第二存储器，所述处理器、所述第一存储器和所述第二存储器集成在半导体芯片内；其中所述处理器用于运行安全操作系统和基于所述安全操作系统的区块链钱包程序，所述第一存储器用于为所述处理器提供运行所述安全操作系统和所述区块链钱包程序所需的内存空间，所述第二存储器用于存储所述钱包私钥。所述处理器还用于在所述区块链钱包程序的作用下，生成助记符，基于所述助记符获得区块链钱包的钱包私钥，将所述钱包私钥写入到所述第二存储器中。[2021/11/2 6:26:09]

关于在线的网页钱包，有太多可能被攻击的方面，比如类似之前MyEtherWallet因为DNS解析污染导致用户访问了黑客构造的恶意脚本，还有就是大量依赖的第三方程序出现漏洞，或者自身服务器被攻击等都会出现安全问题。

所以，一般的钱包安全等级是：网页钱包<App钱包<硬件钱包。当然具体还要看开发和运营的项目方对安全的维护能力及重视程度。

安托将使用IBM Cloud保护数字钱包安全:3月3日，安托（Onchain Custodian）宣布将在其发布的新版SAFE平台上使用IBM Cloud Hyper Protect Crypto Services来提升其基础钱包管理的冷存储功能，通过利用公有云中提供的FIPS 140-2 Level 4认证硬件构建的安全模块（HSM）来实现密钥的生成和存储，具有高度的防篡改功能。

IBM Z（IBM Z as a Service）总监Rohit Badlaney表示：“通过利用IBM云超级保护服务，安托可以构建一个高度灵活且安全的基于云的解决方案，支持像安托这样的托管平台是IBM Cloud Hyper Protect Services非常理想的应用案例。”

安托董事会主席、Onchain CEO达鸿飞表示：“我们一直在与我们精选的合作伙伴一起不断扩大客户群和开放式金融服务产品。随着我们增强的托管解决方案的上线，安托已准备好进一步扩展。我们正在寻找战略投资者来加速我们的扩展。”

安托是一家位于新加坡的数字资产托管平台，于2018年获得复星、DHVC、红杉资本的投资。[2020/3/4]

02钱包使用如何降低门槛？

比特派：说到钱包的门槛，助记词是绕不过去的，无论如何用户都需要自行保管助记词，想绕开这一门槛的用户就把币留在交易平台，尽量留在较大的交易平台里，风险会小一些。区块链历史上交易平台跑路的案例太多了，所以请自行评估相关风险。

动态 | TronLink波宝钱包安卓v3.3.0正式发布:据官方最新消息，波宝钱包安卓最新版本v3.3.0今日正式发布。该版本更全面地支持了波场网络中的高阶功能，允许用户深度参与波场网络建设，同时提供了更加灵活易用的第三方调用解决方案。TronLink波宝钱包是一款安全、全面、专业的波场钱包，也是目前波场TRON生态中用户量最大的去中心化钱包，其产品已经累计为超过30万的波场用户提供服务。[2019/12/13]

当前的主流钱包已经在尽可能地降低用户的门槛了，如果真能保管好12个助记词，后续的钱包操作其实就已经很小白化了。

imToken：数字钱包的使用门槛主要还是在私钥备份及存储这一层面，其实包括以太坊社区，很多技术开发者都在关注这一问题。像多签钱包，EOS的多账户私钥权重，主账户子账户等，都是在对如何更安全的使用私钥进行探索，让私钥管理的容错性更高一些。但目前私钥依然存在，并且需要直接暴露给用户，由用户进行最终的存储和管理。所以这个门槛没有实质性的降低。

我们认为钱包的终极形态即是人链交互系统，将人与区块链无缝的进行融合。

03如何安排钱包和交易平台的存放比例？

imToken：安全策略是因人而异和灵活的。对于大多数用户而言，需要频繁操作的资产可以放在交易平台。如果想长期持有某些Token，还是建议购买一款硬件钱包。

比特派：50%以上、不用来交易或很少使用的Token，应该存在冷钱包里;20%-30%日常使用的Token可以放在热钱包；20%-30%甚至更多需要用来交易的Token存在交易平台里。

04挑选钱包时需要考虑哪些因素？

imToken：现在的数字钱包如雨后春笋一般，品质也参差不齐，近两年市场上更是出现了一大批资金盘钱包和CX钱包，像PlusToken、MGC等。我认为用户在选择钱包时候应该注意以下几点：

首先,选择品牌影响力和口碑俱佳的钱包。用户选择使用第三方提供的钱包，最重要的就是信任这个工具，用户可以在选择钱包之前进行一些调研，选择用户量多，市场存在时间长，没有发生过安全问题的钱包。

其次,选择可以离线生成并管理私钥的钱包，即可以作为冷钱包使用的钱包。我觉得这点比钱包开源还要重要，因为钱包开源也会存在一些问题，比如真正的产品发布所使用的代码是不是和开源代码完全一致，有没有将用户的私钥上传到自己的服务器等等。如果用户将手机网络关闭，依然能够生成钱包，那么可以证明该钱包不是通过钱包商服务器生成的。同时，用户也可以通过手机代理的方式来查看网络请求，看看是否有传输密钥的情况。

最后,用户可以关注一下开源钱包。对于开源这件事，大家要客观看待，因为开源≠安全。开源和安全应该是一个相互促进的关系，代码开源后，可以得到更多优秀开发者的关注，自然能够提高安全等级。

比特派：大额冷存储必须用开源的冷钱包和硬件钱包。日常使用的钱包应该考虑的是有着良好的安全口碑，并且有着非常有实力且能保持着良好迭代速度的团队所开发的钱包。

05操作钱包时有哪些注意事项？

imToken：我之前有提出一个「钱包安全10不原则」基本上很好的覆盖了用户在使用钱包时需要注意的事项：

1.不使用未备份的钱包2.不使用邮件传输或存储私钥3.不使用微信收藏或云备份存储私钥4.不要截屏或拍照保存私钥5.不使用微信、QQ传输私钥6.不要将私钥告诉身边的人7.不要将私钥发送到群里8.不使用第三方提供的未知来源钱包应用9.不使用他人提供的AppleID10.不要将私钥导入未知的第三方网站

用户资产被盗的事件起因五花八门，有使用不安全钱包导致资产丢失的，当然更多的是因为自身管理储存私钥不当。比较常见的被盗情况就是“监守自盗”这种类型，比如和身边的朋友、合伙人共同管理一把私钥，或者不小心将私钥泄露给身边的人，因为区块链具有匿名性，所以很容易出现这种情况。

用户要时刻意识到，私钥要自己保管，不要告诉任何人，也不要通过任何即时通讯软件传播。

比特派：助记词的保管是最重要的，因为不恰当地保管助记词所导致的丢币和币被盗实在是太多了。

06如何挑选硬件钱包？

比特派：挑选硬件钱包有几大要素：1.开源；2.有屏幕；3.能一直保持良好迭代的钱包团队；4.架构合理，价格也合理。

imToken：硬件钱包的普及率还是比较低的，绝大多数用户对硬件钱包不甚了解。但我建议，大额资产还是使用硬件钱包进行存储。

在建议用户选择硬件钱包这方面，一定要选择有较高等级安全芯片的硬件钱包。因为市面上有些硬件钱包依然是建立在安卓系统上的，即便是采用开源代码，也会存在较大的安全隐患，因为硬件钱包是软件和硬件的结合，软件层面没问题，不代表硬件层面不会出现问题。

关于开源的问题，我上边也谈到了开源≠安全，有个蛮有趣的问题可以思考一下：是闭源的苹果系统安全，还是开源的安卓系统安全？

我认为，一些场景下闭源反而会增大黑客攻击的难度。

07如何识别钱包？

imToken：超高收益和拉人头等具有明显CX和资金盘行为的项目，都需要引起用户注意。

其实，用户不是无法辨别什么是资金盘钱包，而是被高利益吸引，失去了理智。imToken之前在曝光MGC钱包的时候，有很多用户和我们说:我知道MGC是子项目，但是只要让更多人上当受，我就可以赚钱，你们这样曝光，就没有人上当了，我就要亏钱了。

所以，这不是如何帮助用户识别局的问题，而是人性的问题。庞氏局存在整整100年了，依然屡试不爽。还是希望用户能够理智一些，天上是不会掉馅饼的。

比特派：高利息的肯定是。钱包是用户自己保管私钥，私钥本身又没有高利息，如果公链有着Staking模型那当然是另一回事。所以，肯定是一眼就能看出来的。

08PoS区块链节点是否会成为钱包发展方向？

比特派：新公链一般都是PoS模型，也就会有Staking的收益和相关机制，而新公链在设计这块的时候，都会做成是钱包的场景。

我们已经开始为用户提供Staking服务了，这块的布局对我们来说是很自然的一件事情，未来主要的Sktaing公链我们都会提供一键Staking的服务，让用户更方便地使用相关功能。

imToken：我觉得钱包是Staking的天然平台，可以和PoS进行完美的融合。这会是钱包未来的一个重要业务。

我们团队也很关注Staking经济的发展，第一时间支持Cosmos公链和ATOM的Staking服务。同样，我们也对波卡等社区热门的优质项目保持关注，会在第一时间支持这些项目。

标签：TOKENKENimtokenDASbitwatchtoken00 Tokenimtoken转账赚钱局DASH达世币最新消息

Ethereum热门资讯