錢包安全操作不規范 傾家蕩產只需5分鐘 : 資深從業者的建議一定要聽

最近，關于加密貨幣錢包的安全事件不斷出現在媒體上：

7月10日，硬件錢包Trezor被曝僅用5分鐘即可提取出密鑰種子，且漏洞無法通過補丁修復。7月12日，Dash官方推特發布警告，稱錢包MyDashWallet出現漏洞。據此前消息，有用戶反饋稱價值數百萬人民幣的Dash幣遭惡意竊取。

加密資產的安全一直是重中之重，然而很多用戶的安全意識薄弱，對錢包的相關知識知之甚少。

今天，白話區塊鏈文字采訪了比太錢包創始人比特派錢包開發者文浩和imToken中國區運營負責人Simon，以便能從更多角度幫助大家了解加密資產錢包這方面的問題。

01Trezor和Dash錢包有何安全問題？

比特派：首先，Trezor沒出安全問題，MyDashWallet是出了安全問題，這不是一回事。

先說下MyDashWallet，我們從2014年開始就建議用戶盡量不要使用網頁錢包，因為網頁錢包的安全天花板最低，瀏覽器插件、惡意代碼注入、釣魚鏈接等等對于網頁錢包都是致命的，當然還包括不安全的隨機數環境。MyDashWallet只不過是又給網頁錢包糟糕的安全記錄和丟幣歷史里增加新的一個案例而已。

TronLink波寶錢包安卓v3.7.1正式發布:據官方消息，波寶錢包安卓最新版本v3.7.1正式發布。該版本主要改版了投票功能，并且優化了行情頁面及錢包管理交互。TronLink波寶錢包是目前波場TRON生態中用戶量最大的去中心化錢包，其產品已經累計為超過30萬的波場用戶提供服務。[2020/8/8]

而Trezor的事情是另一回事，在過去一段時間Ledger一直用一個所謂的Ledger安全實驗室的名義來發布文章攻擊Trezor的安全性，但其實對于Ledger的攻擊，Trezor早在幾個月前就已經做過正面并且清楚的回復了，前幾天再次傳播的報道其實仍然是幾個月前的內容，并沒什么新鮮的。

對于硬件錢包來說，100%做到絕對防范物理攻擊是不可能的，大家只能努力增加物理攻擊的難度罷了。

硬件錢包的真正目的是要做到冷錢包，預防一個遠在天涯海角的黑客通過互聯網把你的幣轉走。如果您希望連物理攻擊都能防御，使用密碼賬戶就好了，這樣即便是攻擊者搶走了你的硬件錢包，沒有密碼也沒有用。

imToken：關于Trezor錢包，它使用的是單片機結構，類似一臺微型服務器，是通過程序來控制訪問私鑰的權限，所以存在被繞過和利用的可能。比如程序邏輯漏洞或者一定情況下的內存讀取等，核心來講還是要使用安全存儲級別更高的加密芯片來保障訪問及使用的安全。

TronLink波寶錢包安卓v3.5.1正式發布:據官方最新消息，波寶錢包安卓最新版本v3.5.1正式發布。該版本重構了DApp“發現”頁面，新增支持觀察錢包與冷錢包配合簽名DApp交易。TronLink波寶錢包是一款安全、全面、專業的波場錢包，也是目前波場TRON生態中用戶量最大的去中心化錢包，其產品已經累計為超過30萬的波場用戶提供服務。[2020/4/14]

對于MyDashWallet，這次的問題大致是使用的Script腳本被惡意篡改，導致用戶私鑰傳輸到了黑客的服務器上，而且受影響的時間長達兩個月，給用戶資產安全帶來很重大的影響。

關于在線的網頁錢包，有太多可能被攻擊的方面，比如類似之前MyEtherWallet因為DNS解析污染導致用戶訪問了黑客構造的惡意腳本，還有就是大量依賴的第三方程序出現漏洞，或者自身服務器被攻擊等都會出現安全問題。

所以，一般的錢包安全等級是：網頁錢包<App錢包<硬件錢包。當然具體還要看開發和運營的項目方對安全的維護能力及重視程度。

02錢包使用如何降低門檻？

比特派：說到錢包的門檻，助記詞是繞不過去的，無論如何用戶都需要自行保管助記詞，想繞開這一門檻的用戶就把幣留在交易平臺，盡量留在較大的交易平臺里，風險會小一些。區塊鏈歷史上交易平臺跑路的案例太多了，所以請自行評估相關風險。

動態 | 谷歌下架以太坊輕錢包安卓客戶端 因其屬于移動端挖礦App:據該公司稱，谷歌已經將 MetaMask 的 Android 客戶端從其應用商店中下架。MetaMask 在官方推特表示，其安卓客戶端在上周被暫停，谷歌引用了其禁止移動挖礦產類應用進入其應用商店的政策。但是作為一個以太坊應用程序瀏覽器，MetaMask 不提供挖礦活動。在暫停之后，MetaMask 向谷歌提出了上訴，但被谷歌駁回。MetaMask 表示:目前還不清楚審查人員是否不理解這項政策，或者他們是否在執行一項不成文的政策。據悉，MetaMask 估計每月有 264000 名活躍用戶。[2019/12/27]

當前的主流錢包已經在盡可能地降低用戶的門檻了，如果真能保管好12個助記詞，后續的錢包操作其實就已經很小白化了。

imToken：數字錢包的使用門檻主要還是在私鑰備份及存儲這一層面，其實包括以太坊社區，很多技術開發者都在關注這一問題。像多簽錢包，EOS的多賬戶私鑰權重，主賬戶子賬戶等，都是在對如何更安全的使用私鑰進行探索，讓私鑰管理的容錯性更高一些。但目前私鑰依然存在，并且需要直接暴露給用戶，由用戶進行最終的存儲和管理。所以這個門檻沒有實質性的降低。

動態 | TronLink波寶錢包安卓v3.3.0正式發布:據官方最新消息，波寶錢包安卓最新版本v3.3.0今日正式發布。該版本更全面地支持了波場網絡中的高階功能，允許用戶深度參與波場網絡建設，同時提供了更加靈活易用的第三方調用解決方案。TronLink波寶錢包是一款安全、全面、專業的波場錢包，也是目前波場TRON生態中用戶量最大的去中心化錢包，其產品已經累計為超過30萬的波場用戶提供服務。[2019/12/13]

我們認為錢包的終極形態即是人鏈交互系統，將人與區塊鏈無縫的進行融合。

03如何安排錢包和交易平臺的存放比例？

imToken：安全策略是因人而異和靈活的。對于大多數用戶而言，需要頻繁操作的資產可以放在交易平臺。如果想長期持有某些Token，還是建議購買一款硬件錢包。

比特派：50%以上、不用來交易或很少使用的Token，應該存在冷錢包里;20%-30%日常使用的Token可以放在熱錢包；20%-30%甚至更多需要用來交易的Token存在交易平臺里。

04挑選錢包時需要考慮哪些因素？

imToken：現在的數字錢包如雨后春筍一般，品質也參差不齊，近兩年市場上更是出現了一大批資金盤錢包和CX錢包，像PlusToken、MGC等。我認為用戶在選擇錢包時候應該注意以下幾點：

現場 | 郭亦卓：普華永道中國正落實數字資產錢包安全框架:普華永道中國風險及控制服務高級經理郭亦卓在今日舉辦的2018金融科技北京峰會暨區塊鏈世界論壇上分享了普華永道中國區塊鏈領域的投入，他指出，普華永道中國區塊鏈的布局包含與政府、企業緊密合作，實施區塊鏈服務項目，并進行了演講等公眾活動。此外，他就“數字資產錢包安全現狀”進行分析指出，目前錢包領域暴露了很多安全問題，諸如用戶操作被截屏/錄屏記錄、未檢測軟件的運行環境、APP偽造/山寨軟件釣魚、交易密碼未檢測弱口令、核心代碼未加固等。普華永道中國對此設計數字貨幣錢包安全框架，涉及三個層面：APP安全、服務端安全、業務及管理安全。[2018/10/25]

首先,選擇品牌影響力和口碑俱佳的錢包。用戶選擇使用第三方提供的錢包，最重要的就是信任這個工具，用戶可以在選擇錢包之前進行一些調研，選擇用戶量多，市場存在時間長，沒有發生過安全問題的錢包。

其次,選擇可以離線生成并管理私鑰的錢包，即可以作為冷錢包使用的錢包。我覺得這點比錢包開源還要重要，因為錢包開源也會存在一些問題，比如真正的產品發布所使用的代碼是不是和開源代碼完全一致，有沒有將用戶的私鑰上傳到自己的服務器等等。如果用戶將手機網絡關閉，依然能夠生成錢包，那么可以證明該錢包不是通過錢包商服務器生成的。同時，用戶也可以通過手機代理的方式來查看網絡請求，看看是否有傳輸密鑰的情況。

最后,用戶可以關注一下開源錢包。對于開源這件事，大家要客觀看待，因為開源≠安全。開源和安全應該是一個相互促進的關系，代碼開源后，可以得到更多優秀開發者的關注，自然能夠提高安全等級。

比特派：大額冷存儲必須用開源的冷錢包和硬件錢包。日常使用的錢包應該考慮的是有著良好的安全口碑，并且有著非常有實力且能保持著良好迭代速度的團隊所開發的錢包。

05操作錢包時有哪些注意事項？

imToken：我之前有提出一個「錢包安全10不原則」基本上很好的覆蓋了用戶在使用錢包時需要注意的事項：

1.不使用未備份的錢包2.不使用郵件傳輸或存儲私鑰3.不使用微信收藏或云備份存儲私鑰4.不要截屏或拍照保存私鑰5.不使用微信、QQ傳輸私鑰6.不要將私鑰告訴身邊的人7.不要將私鑰發送到群里8.不使用第三方提供的未知來源錢包應用9.不使用他人提供的AppleID10.不要將私鑰導入未知的第三方網站

用戶資產被盜的事件起因五花八門，有使用不安全錢包導致資產丟失的，當然更多的是因為自身管理儲存私鑰不當。比較常見的被盜情況就是“監守自盜”這種類型，比如和身邊的朋友、合伙人共同管理一把私鑰，或者不小心將私鑰泄露給身邊的人，因為區塊鏈具有匿名性，所以很容易出現這種情況。

用戶要時刻意識到，私鑰要自己保管，不要告訴任何人，也不要通過任何即時通訊軟件傳播。

比特派：助記詞的保管是最重要的，因為不恰當地保管助記詞所導致的丟幣和幣被盜實在是太多了。

06如何挑選硬件錢包？

比特派：挑選硬件錢包有幾大要素：1.開源；2.有屏幕；3.能一直保持良好迭代的錢包團隊；4.架構合理，價格也合理。

imToken：硬件錢包的普及率還是比較低的，絕大多數用戶對硬件錢包不甚了解。但我建議，大額資產還是使用硬件錢包進行存儲。

在建議用戶選擇硬件錢包這方面，一定要選擇有較高等級安全芯片的硬件錢包。因為市面上有些硬件錢包依然是建立在安卓系統上的，即便是采用開源代碼，也會存在較大的安全隱患，因為硬件錢包是軟件和硬件的結合，軟件層面沒問題，不代表硬件層面不會出現問題。

關于開源的問題，我上邊也談到了開源≠安全，有個蠻有趣的問題可以思考一下：是閉源的蘋果系統安全，還是開源的安卓系統安全？

我認為，一些場景下閉源反而會增大黑客攻擊的難度。

07如何識別詐騙錢包？

imToken：超高收益和拉人頭等具有明顯CX和資金盤行為的項目，都需要引起用戶注意。

其實，用戶不是無法辨別什么是資金盤錢包，而是被高利益吸引，失去了理智。imToken之前在曝光MGC錢包的時候，有很多用戶和我們說:我知道MGC是騙子項目，但是只要讓更多人上當受騙，我就可以賺錢，你們這樣曝光，就沒有人上當了，我就要虧錢了。

所以，這不是如何幫助用戶識別騙局的問題，而是人性的問題。龐氏騙局存在整整100年了，依然屢試不爽。還是希望用戶能夠理智一些，天上是不會掉餡餅的。

比特派：高利息的肯定是詐騙。錢包是用戶自己保管私鑰，私鑰本身又沒有高利息，如果公鏈有著Staking模型那當然是另一回事。所以，詐騙肯定是一眼就能看出來的。

08PoS區塊鏈節點是否會成為錢包發展方向？

比特派：新公鏈一般都是PoS模型，也就會有Staking的收益和相關機制，而新公鏈在設計這塊的時候，都會做成是錢包的場景。

我們已經開始為用戶提供Staking服務了，這塊的布局對我們來說是很自然的一件事情，未來主要的Sktaing公鏈我們都會提供一鍵Staking的服務，讓用戶更方便地使用相關功能。

imToken：我覺得錢包是Staking的天然平臺，可以和PoS進行完美的融合。這會是錢包未來的一個重要業務。

我們團隊也很關注Staking經濟的發展，第一時間支持Cosmos公鏈和ATOM的Staking服務。同樣，我們也對波卡等社區熱門的優質項目保持關注，會在第一時間支持這些項目。

Tags：TOKENTOKKENTOKEGlobalTokenTokocryptoKebab TokenFreemoon Token

KuCoin