钱包安全操作不规范 倾家荡产只需5分钟 : 资深从业者的建议一定要听

最近，关于加密货币钱包的安全事件不断出现在媒体上：

7月10日，硬件钱包Trezor被曝仅用5分钟即可提取出密钥种子，且漏洞无法通过补丁修复。7月12日，Dash官方推特发布警告，称钱包MyDashWallet出现漏洞。据此前消息，有用户反馈称价值数百万人民币的Dash币遭恶意窃取。

加密资产的安全一直是重中之重，然而很多用户的安全意识薄弱，对钱包的相关知识知之甚少。

今天，白话区块链文字采访了比太钱包创始人比特派钱包开发者文浩和imToken中国区运营负责人Simon，以便能从更多角度帮助大家了解加密资产钱包这方面的问题。

01Trezor和Dash钱包有何安全问题？

比特派：首先，Trezor没出安全问题，MyDashWallet是出了安全问题，这不是一回事。

先说下MyDashWallet，我们从2014年开始就建议用户尽量不要使用网页钱包，因为网页钱包的安全天花板最低，浏览器插件、恶意代码注入、钓鱼链接等等对于网页钱包都是致命的，当然还包括不安全的随机数环境。MyDashWallet只不过是又给网页钱包糟糕的安全记录和丢币历史里增加新的一个案例而已。

安全团队：近期Windows 版 Coremail 邮件客户端存在RCE漏洞，可能导致钱包私钥泄露，提醒大家注意钱包安全:7月26日消息，据成都链安链必知-区块链安全舆情平台监测到的微步动态显示，近期Windows 版 Coremail 邮件客户端存在 RCE（远程代码执行）漏洞，该漏洞利用过程简单且稳定。攻击者可以通过执行任意代码完全控制受害者主机，进而危害用户主机上的钱包安全。经分析验证，攻击者可以给受害者发送一封精心构建的邮件，如果受害者使用Coremail客户端打开邮件，即可自动运行邮件附件中的恶意可执行程序。全程不需要受害者点开任何邮件中的链接或附件，打开邮件即中招。据悉，此次漏洞受影响版本为Coremail Air 客户端3.0.5版本及以上，3.1.0.303（不含）以下版本。在此提醒大家注意钱包安全：未知来源的邮件和附件、链接等请不要随意点击；并将Coremail 邮件客户端升级至最新版本。[2022/7/26 2:38:48]

而Trezor的事情是另一回事，在过去一段时间Ledger一直用一个所谓的Ledger安全实验室的名义来发布文章攻击Trezor的安全性，但其实对于Ledger的攻击，Trezor早在几个月前就已经做过正面并且清楚的回复了，前几天再次传播的报道其实仍然是几个月前的内容，并没什么新鲜的。

华为公开“安全芯片及处理方法”专利，可提升区块链钱包安全性:金色财经报道，华为申请的“一种安全芯片、安全处理方法及相关设备”发明专利日前被公开，申请号CN201980094248.X，申请公布号CN113574828A。该专利可提升区块链钱包的安全性，安全元件包括处理器、第一存储器和第二存储器，所述处理器、所述第一存储器和所述第二存储器集成在半导体芯片内；其中所述处理器用于运行安全操作系统和基于所述安全操作系统的区块链钱包程序，所述第一存储器用于为所述处理器提供运行所述安全操作系统和所述区块链钱包程序所需的内存空间，所述第二存储器用于存储所述钱包私钥。所述处理器还用于在所述区块链钱包程序的作用下，生成助记符，基于所述助记符获得区块链钱包的钱包私钥，将所述钱包私钥写入到所述第二存储器中。[2021/11/2 6:26:09]

对于硬件钱包来说，100%做到绝对防范物理攻击是不可能的，大家只能努力增加物理攻击的难度罢了。

硬件钱包的真正目的是要做到冷钱包，预防一个远在天涯海角的黑客通过互联网把你的币转走。如果您希望连物理攻击都能防御，使用密码账户就好了，这样即便是攻击者抢走了你的硬件钱包，没有密码也没有用。

慢雾科技启富：去中心化钱包安全核心在于私钥、助记词的存储及加密:11月6日消息，慢雾科技合伙人启富在做客《HyperPay焦点》栏目时提及：去中心化钱包的安全涉及到很多方面，最核心的是对私钥、助记词的存储及加密。用户在选择钱包时尽量选择国际知名、一流的钱包，同时注意看钱包App的代码是否开源、代码是否经过安全审计、团队内是否有CSO或安全负责人，这些都可能影响到钱包不断迭代、升级过程中的安全是否有保障。同时，作为用户一定要从钱包的官网下载App，避免误入钓鱼网站下载到被植入了后门的钱包App。[2020/11/6 11:51:30]

imToken：关于Trezor钱包，它使用的是单片机结构，类似一台微型服务器，是通过程序来控制访问私钥的权限，所以存在被绕过和利用的可能。比如程序逻辑漏洞或者一定情况下的内存读取等，核心来讲还是要使用安全存储级别更高的加密芯片来保障访问及使用的安全。

对于MyDashWallet，这次的问题大致是使用的Script脚本被恶意篡改，导致用户私钥传输到了黑客的服务器上，而且受影响的时间长达两个月，给用户资产安全带来很重大的影响。

关于在线的网页钱包，有太多可能被攻击的方面，比如类似之前MyEtherWallet因为DNS解析污染导致用户访问了黑客构造的恶意脚本，还有就是大量依赖的第三方程序出现漏洞，或者自身服务器被攻击等都会出现安全问题。

声音 | 比特币安全专家：加密货币钱包安全性最好的是硬件钱包:据AMBcrypto 12月22日消息，比特币安全专家Andreas Antonopoulos表示，大多数台式机操作系统的安全性都不够，大多数台式机和笔记本电脑的安全性不足以容纳加密货币。根据Antonopoulos的说法，在用户的设备上生成一个安全的助记短语的钱包是硬件钱包，该短语不会离开设备，存储资金的最佳方式是使用硬件钱包。但是硬件钱包很昂贵。因此，他说，在这种情况下，第二好的选择是在智能手机上下载钱包。他进一步表示，由于桌面钱包的安全性要比从手机上下载的安全性低得多，因此，他建议用户仅与硬件钱包结合使用桌面钱包，并将密钥是生成并存储在硬件钱包中，而不是在通用操作系统上。[2019/12/23]

所以，一般的钱包安全等级是：网页钱包<App钱包<硬件钱包。当然具体还要看开发和运营的项目方对安全的维护能力及重视程度。

02钱包使用如何降低门槛？

比特派：说到钱包的门槛，助记词是绕不过去的，无论如何用户都需要自行保管助记词，想绕开这一门槛的用户就把币留在交易平台，尽量留在较大的交易平台里，风险会小一些。区块链历史上交易平台跑路的案例太多了，所以请自行评估相关风险。

动态 | 以太坊dApp浏览器采取措施提高钱包安全性:据CCN报道，为了保护隐私，以太坊dApp浏览器MetaMask将在11月2日停止向用户浏览器注入Web3实例。更新对访问用户麦克风或摄像头请求的审批模式，用户可以拒绝非法网站的访问。钓鱼网站将无法在用户不知情的情况下获取其隐私信息。[2018/8/27]

当前的主流钱包已经在尽可能地降低用户的门槛了，如果真能保管好12个助记词，后续的钱包操作其实就已经很小白化了。

imToken：数字钱包的使用门槛主要还是在私钥备份及存储这一层面，其实包括以太坊社区，很多技术开发者都在关注这一问题。像多签钱包，EOS的多账户私钥权重，主账户子账户等，都是在对如何更安全的使用私钥进行探索，让私钥管理的容错性更高一些。但目前私钥依然存在，并且需要直接暴露给用户，由用户进行最终的存储和管理。所以这个门槛没有实质性的降低。

我们认为钱包的终极形态即是人链交互系统，将人与区块链无缝的进行融合。

03如何安排钱包和交易平台的存放比例？

imToken：安全策略是因人而异和灵活的。对于大多数用户而言，需要频繁操作的资产可以放在交易平台。如果想长期持有某些Token，还是建议购买一款硬件钱包。

比特派：50%以上、不用来交易或很少使用的Token，应该存在冷钱包里;20%-30%日常使用的Token可以放在热钱包；20%-30%甚至更多需要用来交易的Token存在交易平台里。

04挑选钱包时需要考虑哪些因素？

imToken：现在的数字钱包如雨后春笋一般，品质也参差不齐，近两年市场上更是出现了一大批资金盘钱包和CX钱包，像PlusToken、MGC等。我认为用户在选择钱包时候应该注意以下几点：

首先,选择品牌影响力和口碑俱佳的钱包。用户选择使用第三方提供的钱包，最重要的就是信任这个工具，用户可以在选择钱包之前进行一些调研，选择用户量多，市场存在时间长，没有发生过安全问题的钱包。

其次,选择可以离线生成并管理私钥的钱包，即可以作为冷钱包使用的钱包。我觉得这点比钱包开源还要重要，因为钱包开源也会存在一些问题，比如真正的产品发布所使用的代码是不是和开源代码完全一致，有没有将用户的私钥上传到自己的服务器等等。如果用户将手机网络关闭，依然能够生成钱包，那么可以证明该钱包不是通过钱包商服务器生成的。同时，用户也可以通过手机代理的方式来查看网络请求，看看是否有传输密钥的情况。

最后,用户可以关注一下开源钱包。对于开源这件事，大家要客观看待，因为开源≠安全。开源和安全应该是一个相互促进的关系，代码开源后，可以得到更多优秀开发者的关注，自然能够提高安全等级。

比特派：大额冷存储必须用开源的冷钱包和硬件钱包。日常使用的钱包应该考虑的是有着良好的安全口碑，并且有着非常有实力且能保持着良好迭代速度的团队所开发的钱包。

05操作钱包时有哪些注意事项？

imToken：我之前有提出一个「钱包安全10不原则」基本上很好的覆盖了用户在使用钱包时需要注意的事项：

1.不使用未备份的钱包2.不使用邮件传输或存储私钥3.不使用微信收藏或云备份存储私钥4.不要截屏或拍照保存私钥5.不使用微信、QQ传输私钥6.不要将私钥告诉身边的人7.不要将私钥发送到群里8.不使用第三方提供的未知来源钱包应用9.不使用他人提供的AppleID10.不要将私钥导入未知的第三方网站

用户资产被盗的事件起因五花八门，有使用不安全钱包导致资产丢失的，当然更多的是因为自身管理储存私钥不当。比较常见的被盗情况就是“监守自盗”这种类型，比如和身边的朋友、合伙人共同管理一把私钥，或者不小心将私钥泄露给身边的人，因为区块链具有匿名性，所以很容易出现这种情况。

用户要时刻意识到，私钥要自己保管，不要告诉任何人，也不要通过任何即时通讯软件传播。

比特派：助记词的保管是最重要的，因为不恰当地保管助记词所导致的丢币和币被盗实在是太多了。

06如何挑选硬件钱包？

比特派：挑选硬件钱包有几大要素：1.开源；2.有屏幕；3.能一直保持良好迭代的钱包团队；4.架构合理，价格也合理。

imToken：硬件钱包的普及率还是比较低的，绝大多数用户对硬件钱包不甚了解。但我建议，大额资产还是使用硬件钱包进行存储。

在建议用户选择硬件钱包这方面，一定要选择有较高等级安全芯片的硬件钱包。因为市面上有些硬件钱包依然是建立在安卓系统上的，即便是采用开源代码，也会存在较大的安全隐患，因为硬件钱包是软件和硬件的结合，软件层面没问题，不代表硬件层面不会出现问题。

关于开源的问题，我上边也谈到了开源≠安全，有个蛮有趣的问题可以思考一下：是闭源的苹果系统安全，还是开源的安卓系统安全？

我认为，一些场景下闭源反而会增大黑客攻击的难度。

07如何识别钱包？

imToken：超高收益和拉人头等具有明显CX和资金盘行为的项目，都需要引起用户注意。

其实，用户不是无法辨别什么是资金盘钱包，而是被高利益吸引，失去了理智。imToken之前在曝光MGC钱包的时候，有很多用户和我们说:我知道MGC是子项目，但是只要让更多人上当受，我就可以赚钱，你们这样曝光，就没有人上当了，我就要亏钱了。

所以，这不是如何帮助用户识别局的问题，而是人性的问题。庞氏局存在整整100年了，依然屡试不爽。还是希望用户能够理智一些，天上是不会掉馅饼的。

比特派：高利息的肯定是。钱包是用户自己保管私钥，私钥本身又没有高利息，如果公链有着Staking模型那当然是另一回事。所以，肯定是一眼就能看出来的。

08PoS区块链节点是否会成为钱包发展方向？

比特派：新公链一般都是PoS模型，也就会有Staking的收益和相关机制，而新公链在设计这块的时候，都会做成是钱包的场景。

我们已经开始为用户提供Staking服务了，这块的布局对我们来说是很自然的一件事情，未来主要的Sktaing公链我们都会提供一键Staking的服务，让用户更方便地使用相关功能。

imToken：我觉得钱包是Staking的天然平台，可以和PoS进行完美的融合。这会是钱包未来的一个重要业务。

我们团队也很关注Staking经济的发展，第一时间支持Cosmos公链和ATOM的Staking服务。同样，我们也对波卡等社区热门的优质项目保持关注，会在第一时间支持这些项目。

标签：TOKEKENTOKTOKEN3X Short Tether Gold TokenBaked TokenPhilosafe TokenTvt Token

DOT热门资讯