别着急提币！冷钱包并没有你想像的安全

2022-11-14, 12:38

摘要

由FTX暴雷事件引发的连锁反应FUD逐渐蔓延，熊市何时休，没人知道；

加密世界如今非常的蛮荒混乱，作为用户来说，我们能做什么；

对于大多数人来说，只要做好密码保护和双重验证，放在交易所实际上会比热钱包更安全。

真实的世界本来是一个熵增的过程，而区块链的使命，则是延缓熵增的速度。

引言

由FTX暴雷事件引发的连锁反应FUD逐渐蔓延，提币运动还在继续，熊市何时休，没人知道。但我们可以好好探讨一下，提币真的有必要吗？您的数字资产如何安放才有安全感？

提币还是观望？

这一波由FTX掀起的提币运动，目前已经让一些没有听过100%储备金证明的加密交易所遭受到巨大的挤兑风险，甚至面临关停的风险。

其实在FTX第一天大量抛售山寨币的时候，敏感的投资者们就应该意识到可能需要提币离开了。而不是后知后觉，被动等待好消息的降临和期待事件有反转。

我们可以看到，现在整个世界的局势非常动荡，加密世界同样也是非常的蛮荒混乱，作为用户来说其实能做的不多，这就更加要求我们根据自身的情况，进行合理的资产配置。

比特币可能是部分人在动荡局势下开启新生活的火种，相信未来有一天，每个家庭都要有一定比例的配置，才能有利于资产组合更加健康和可持续。

此外，我们也要学会用硬件钱包来存储自己的资产，将资金分散，防止把所有钱都all in交易所，强如 FTX这只巨头也仅在两天之内就轰然倒地，还有什么不可能发生的呢？

冷钱包还是热钱包？

那么问题来了，用户到底是适合热钱包还是冷钱包呢？接下来，我们分别列出冷钱包和热钱包的使用方法和风险隐患所在，大家可以具体根据自身情况来参考选择。

冷钱包

一个符合标准或者正规厂家生产的硬件冷钱包一定是隔离互联网的。一般说来，硬件冷钱包产生钱包地址和密钥是在断网的情况下产生。这就保证黑客无法通过网络联网到设备直接盗取密钥。

纵观硬件冷钱包的使用过程，我们发现，但凡出现私钥或者使用私钥的场景都是在断网的情况下完成，所以这可以在某种程度上断绝了黑客盗取私钥的途径，从而保证了硬件冷钱包的安全。

另外，建议在接收加密货币时，配合观察钱包，如 imToken、Trust Wallet 等，在发送加密资产时，配合QRCode二维码、USB或蓝牙来使用。

但使用冷钱包的风险隐患在于，用户的有关专业知识缺失可能会导致”所见即所签“的交互方式引起的安全问题。硬件钱包，就不存在绝对的安全。

曾经在美国拉斯维加斯举行的世界黑客大会DEF CON 25上，国外某安全团队，就向观众演示了如何破解硬件冷钱包,其中就包括最古老的比特币钱包Trezor。黑客在拿到Trezor后，通过拆除其外壳，就可以利用漏洞，转走比特币。这个过程最快只需要15秒。

而就在两年前，闹得沸沸扬扬的加密货币冷钱包制造商Leger的安全事故，导致将近100 万条电子邮件地址以及9,500 名用户资料外泄。其中虽不包含密码，但这些个资已足以被歹徒用来发动钓鱼攻击，诈勒索事件风声四起、引动相关用户人心惶惶，让人们对于第三方冷钱包的使用也是心存芥蒂。

因此，一般来说，我们需要仔细观察市面上较为知名的硬件冷钱包厂商。如果某个厂商出品较久，并且一直以来没有出现过安全事故，那么大概率这个厂商出品的硬件冷钱包就是比较安全和可靠的。

热钱包

一般来说，热钱包都会与DApp（DeFi、NFT、GameFi 等）进行交互，那么在钱包运行时，恶意代码将相关助记词直接打包上传到黑客控制的服务端。钱包运行时，当用户发起转账，在钱包后台偷偷替换目标地址及金额等信息，此时用户很难察觉。破坏助记词生成有关的随机数熵值，让这些助记词比较容易被破解。

目前，市面上比较知名且安全性较高的热钱包Metamask，其隶属于以太坊技术开发公司 ConsenSys 旗下的 6 大产品之一，也曾一度获得以太坊基金会的支持。

属于轻量级的以太坊开源钱包，同时也是 APP 钱包，兼具测试以太坊智能合约功能，支持最全的 Dapp，且能够与硬件钱包 Ledger 和 Trezor 兼容。

用户操作界面简洁，非常适合初学体验者使用，此外，用户自定义钱包体验，比如向 MetaMask 添加新的应用程序接口等，但Gas 费率高，而且因为过于简单的 UI 设计和页面也常被人诟病。

Web3.0钱包，靠不靠谱？

钱包是用户进行链上交互的必备工具，可视为现实世界通往加密世界的重要入口，其本质是私钥管理工具，资产属性强烈。未来加密钱包的发展也将围绕着这两点特性不断的进行丰富和扩展，朝着全面和综合性的方向进行业务优化和资源聚合。

作为未来加密钱包的佼佼者，Web3.0时代的去中心化多功能钱包 —— Wallet.io使用了一个更均衡的方案，保障您的资金安全。

用户不需要自己记录和保存助记词或私钥，不必担心自己的手机或电脑被入侵，平台保障资金安全；平台不能动用用户账户里的资金，资产在链上清晰可查，无法造假。wallet.io支持通过gate.io认证登录，Auth认证后一个账号同时登录交易所和个人钱包，兑换和转账全搞定，方便快捷。

此外，wallet.io还有领先的机构级别的多币种多签钱包。由 Certik & Cheetah Mobile Security 提供合约代码安全审计。

Wallet.io单人多签钱包：Gate与值得信赖的数字资产保管专家共同为您提供专业的资产管理解决方案。适合单人管理资产，多签的解决方案可避免单方私钥丢失导致资产损失。采用“2-of-3签名”机制。3把私钥分别由用户、wallet.io平台、第三方权威机构分别保管；交易需要其中两把私钥签名才可以转出资产。支持多种数字币，可存储几百种数字货币，通过专业机构确保备份私钥安全无忧，支持硬件钱包，硬件冷存储，私钥更安全。

Wallet.io多人多签钱包：安全，灵活的协同管理资产的解决方案。适合多方协作管理资产的情况，不仅可避免单方私钥丢失导致资产损失，同时为多方协作管理资产提供了更好的解决方案。“m-of-n签名”机制，可⾃主设置钱包总私钥数n，和对交易签名所需的私钥数m。也就是钱包总共有n个成员管理私钥，需要m个成员签名之后，才可以转出资产。

M-of-N控制更安全，交易需要M中的N把钥匙签名确认，支持多种数字币，可存储几百种数字货币，更好的备份体验，为用户生成安全Keycard，必要时可通过Keycard找回资产，亦支持硬件钱包，硬件冷存储。

此外，Wallet.io钱包免费为用户提供数字资产管理、转账、收款等服务，不收取任何其他费用。转账时的费用会支付给维护数字货币系统运行的网络节点，也称矿工费，与wallet.io无任何经济关系。转账页面显示的是参考矿工费，实际发生费用以实际发生为准，具体在交易记录详情页面查看。

目前，Wallet.io支持EOS所有的代币，以及ETH的所有ERC-20的代币，支持QTUM的所有QRC-20的代币，支持NEO的所有NEP-5类型的代币。

在Wallet.io里用户不需要备份私钥，由于Wallet.io使用了更均衡的安全策略，私钥被高强度加密保存在平台，用户和平台都不能单独获取到私钥。私钥使用用户的提现密码经过多重加密存储，平台拿不到私钥，私钥受用户控制。用户转账时私钥会加密使用，用完就会删除。

一个多重认证，开源透明的安全、易用的全币种钱包，才能用户用的安全放心。

一些建议

综上所述，我们的代币常存放的有三个地方，其中以冷钱包较为安全。而对于大多数人来说，只要做好密码保护和双重验证，放在交易所实际上会比一些热钱包更安全；我们的热钱包因为时刻在链上，一旦发生错误的授权，资产就很容易被转移，Wallet.io可以有效的避免这种错误发生。

此外，很多人以为 USDT 很安全，其实 USDT 是由 Tether 公司管理的，一旦被认为是黑钱，Tether 可以轻松冻结这一笔钱。所以遇到不明来源的 USDT 最好还是小心点。同理，需要注意的是 USDC，也是会被冻结的。

还有一个大家最容易犯错的地方，就是签名（sign）。一般认为签名不涉及授权，不会有操作风险，但是遇到非明文写下的签名，还是有安全隐患的，不过好在现在 Metamask 都会用红字提示。

当然，除签名外，最常用的一个功能是授权（approve）。这决定了你授权了对方某个币种可以自由使用的额度，一般来说像常用的Uniswap这类的DEX比较安全，但是一旦遇到新的项目要求你无限转账额度的授权，就一定要小心了。黑客们最喜欢用的一招就是让你在焦虑（新项目mint时）、兴奋（突然收到貌似大额的空投）、沮丧（反复被骗）等情绪下，将你骗到一个假冒网站，让你无意中将授权交给他。