最近，关于加密货币钱包的安全事件不断出现在媒体上：
7月10日，硬件钱包Trezor被曝仅用5分钟即可提取出密钥种子，且漏洞无法通过补丁修复。7月12日，Dash官方推特发布警告，称钱包MyDashWallet出现漏洞。据此前消息，有用户反馈称价值数百万人民币的Dash币遭恶意窃取。
加密资产的安全一直是重中之重，然而很多用户的安全意识薄弱，对钱包的相关知识知之甚少。
今天，白话区块链文字采访了比太钱包创始人比特派钱包开发者文浩和imToken中国区运营负责人Simon，以便能从更多角度帮助大家了解加密资产钱包这方面的问题。
01Trezor和Dash钱包有何安全问题？
比特派：首先，Trezor没出安全问题，MyDashWallet是出了安全问题，这不是一回事。
先说下MyDashWallet，我们从2014年开始就建议用户尽量不要使用网页钱包，因为网页钱包的安全天花板最低，浏览器插件、恶意代码注入、钓鱼链接等等对于网页钱包都是致命的，当然还包括不安全的随机数环境。MyDashWallet只不过是又给网页钱包糟糕的安全记录和丢币历史里增加新的一个案例而已。
Worldcoin：World App使用Safe账户抽象堆栈提高钱包安全性:5月29日消息，Worldcoin 在社交媒体上表示，该生态首个加密钱包 World App 已成为 Polygon 网络最大 Safe 钱包部署者。
据悉，每个 World App 用户都会收到一个部署在链上的智能合约以太坊钱包。World App 使用账户抽象来提高钱包的整体安全性。在底层，这个智能合约钱包使用了一个由 Safe 开发的账户抽象堆栈 Safe{Core}。[2023/5/29 9:49:18]
而Trezor的事情是另一回事，在过去一段时间Ledger一直用一个所谓的Ledger安全实验室的名义来发布文章攻击Trezor的安全性，但其实对于Ledger的攻击，Trezor早在几个月前就已经做过正面并且清楚的回复了，前几天再次传播的报道其实仍然是几个月前的内容，并没什么新鲜的。
对于硬件钱包来说，100%做到绝对防范物理攻击是不可能的，大家只能努力增加物理攻击的难度罢了。
硬件钱包的真正目的是要做到冷钱包，预防一个远在天涯海角的黑客通过互联网把你的币转走。如果您希望连物理攻击都能防御，使用密码账户就好了，这样即便是攻击者抢走了你的硬件钱包，没有密码也没有用。
Paydex支付公链钱包安全升级完成:据官方消息，paydex支付公链钱包已完成安全升级，升级后，当用户在交易过程中，需要签署交易时，将从钱包云端服务器获取托管的私钥，并由用户输入支付密码对内容在用户本地电脑进行解密，解密成功后，钱包本地程序将以私钥签署交易信息，提交到Paydex网络进行交易。[2020/3/11]
imToken：关于Trezor钱包，它使用的是单片机结构，类似一台微型服务器，是通过程序来控制访问私钥的权限，所以存在被绕过和利用的可能。比如程序逻辑漏洞或者一定情况下的内存读取等，核心来讲还是要使用安全存储级别更高的加密芯片来保障访问及使用的安全。
对于MyDashWallet，这次的问题大致是使用的Script脚本被恶意篡改，导致用户私钥传输到了黑客的服务器上，而且受影响的时间长达两个月，给用户资产安全带来很重大的影响。
关于在线的网页钱包，有太多可能被攻击的方面，比如类似之前MyEtherWallet因为DNS解析污染导致用户访问了黑客构造的恶意脚本，还有就是大量依赖的第三方程序出现漏洞，或者自身服务器被攻击等都会出现安全问题。
所以，一般的钱包安全等级是：网页钱包<App钱包<硬件钱包。当然具体还要看开发和运营的项目方对安全的维护能力及重视程度。
安托将使用IBM Cloud保护数字钱包安全:3月3日，安托（Onchain Custodian）宣布将在其发布的新版SAFE平台上使用IBM Cloud Hyper Protect Crypto Services来提升其基础钱包管理的冷存储功能，通过利用公有云中提供的FIPS 140-2 Level 4认证硬件构建的安全模块（HSM）来实现密钥的生成和存储，具有高度的防篡改功能。
IBM Z（IBM Z as a Service）总监Rohit Badlaney表示：“通过利用IBM云超级保护服务，安托可以构建一个高度灵活且安全的基于云的解决方案，支持像安托这样的托管平台是IBM Cloud Hyper Protect Services非常理想的应用案例。”
安托董事会主席、Onchain CEO达鸿飞表示：“我们一直在与我们精选的合作伙伴一起不断扩大客户群和开放式金融服务产品。随着我们增强的托管解决方案的上线，安托已准备好进一步扩展。我们正在寻找战略投资者来加速我们的扩展。”
安托是一家位于新加坡的数字资产托管平台，于2018年获得复星、DHVC、红杉资本的投资。[2020/3/4]
02钱包使用如何降低门槛？
比特派：说到钱包的门槛，助记词是绕不过去的，无论如何用户都需要自行保管助记词，想绕开这一门槛的用户就把币留在交易平台，尽量留在较大的交易平台里，风险会小一些。区块链历史上交易平台跑路的案例太多了，所以请自行评估相关风险。
动态 | 以太坊dApp浏览器采取措施提高钱包安全性:据CCN报道，为了保护隐私，以太坊dApp浏览器MetaMask将在11月2日停止向用户浏览器注入Web3实例。更新对访问用户麦克风或摄像头请求的审批模式，用户可以拒绝非法网站的访问。钓鱼网站将无法在用户不知情的情况下获取其隐私信息。[2018/8/27]
当前的主流钱包已经在尽可能地降低用户的门槛了，如果真能保管好12个助记词，后续的钱包操作其实就已经很小白化了。
imToken：数字钱包的使用门槛主要还是在私钥备份及存储这一层面，其实包括以太坊社区，很多技术开发者都在关注这一问题。像多签钱包，EOS的多账户私钥权重，主账户子账户等，都是在对如何更安全的使用私钥进行探索，让私钥管理的容错性更高一些。但目前私钥依然存在，并且需要直接暴露给用户，由用户进行最终的存储和管理。所以这个门槛没有实质性的降低。
我们认为钱包的终极形态即是人链交互系统，将人与区块链无缝的进行融合。
03如何安排钱包和交易平台的存放比例？
imToken：安全策略是因人而异和灵活的。对于大多数用户而言，需要频繁操作的资产可以放在交易平台。如果想长期持有某些Token，还是建议购买一款硬件钱包。
动态 | Coinbase提交关于提高加密货币钱包安全性的专利:据悉，Coinbase已经提交了一项专利，涉及一项旨在提高加密货币钱包安全性的新技术。Coinbase的专利于2018年8月14日提交给美国专利和商标局（USPTO）。这样做的目的是确保用户可以在不影响其安全性的情况下，从他们的比特币钱包中直接付款。[2018/8/21]
比特派：50%以上、不用来交易或很少使用的Token，应该存在冷钱包里;20%-30%日常使用的Token可以放在热钱包；20%-30%甚至更多需要用来交易的Token存在交易平台里。
04挑选钱包时需要考虑哪些因素？
imToken：现在的数字钱包如雨后春笋一般，品质也参差不齐，近两年市场上更是出现了一大批资金盘钱包和CX钱包，像PlusToken、MGC等。我认为用户在选择钱包时候应该注意以下几点：
首先,选择品牌影响力和口碑俱佳的钱包。用户选择使用第三方提供的钱包，最重要的就是信任这个工具，用户可以在选择钱包之前进行一些调研，选择用户量多，市场存在时间长，没有发生过安全问题的钱包。
其次,选择可以离线生成并管理私钥的钱包，即可以作为冷钱包使用的钱包。我觉得这点比钱包开源还要重要，因为钱包开源也会存在一些问题，比如真正的产品发布所使用的代码是不是和开源代码完全一致，有没有将用户的私钥上传到自己的服务器等等。如果用户将手机网络关闭，依然能够生成钱包，那么可以证明该钱包不是通过钱包商服务器生成的。同时，用户也可以通过手机代理的方式来查看网络请求，看看是否有传输密钥的情况。
最后,用户可以关注一下开源钱包。对于开源这件事，大家要客观看待，因为开源≠安全。开源和安全应该是一个相互促进的关系，代码开源后，可以得到更多优秀开发者的关注，自然能够提高安全等级。
比特派：大额冷存储必须用开源的冷钱包和硬件钱包。日常使用的钱包应该考虑的是有着良好的安全口碑，并且有着非常有实力且能保持着良好迭代速度的团队所开发的钱包。
05操作钱包时有哪些注意事项？
imToken：我之前有提出一个「钱包安全10不原则」基本上很好的覆盖了用户在使用钱包时需要注意的事项：
1.不使用未备份的钱包2.不使用邮件传输或存储私钥3.不使用微信收藏或云备份存储私钥4.不要截屏或拍照保存私钥5.不使用微信、QQ传输私钥6.不要将私钥告诉身边的人7.不要将私钥发送到群里8.不使用第三方提供的未知来源钱包应用9.不使用他人提供的AppleID10.不要将私钥导入未知的第三方网站
用户资产被盗的事件起因五花八门，有使用不安全钱包导致资产丢失的，当然更多的是因为自身管理储存私钥不当。比较常见的被盗情况就是“监守自盗”这种类型，比如和身边的朋友、合伙人共同管理一把私钥，或者不小心将私钥泄露给身边的人，因为区块链具有匿名性，所以很容易出现这种情况。
用户要时刻意识到，私钥要自己保管，不要告诉任何人，也不要通过任何即时通讯软件传播。
比特派：助记词的保管是最重要的，因为不恰当地保管助记词所导致的丢币和币被盗实在是太多了。
06如何挑选硬件钱包？
比特派：挑选硬件钱包有几大要素：1.开源；2.有屏幕；3.能一直保持良好迭代的钱包团队；4.架构合理，价格也合理。
imToken：硬件钱包的普及率还是比较低的，绝大多数用户对硬件钱包不甚了解。但我建议，大额资产还是使用硬件钱包进行存储。
在建议用户选择硬件钱包这方面，一定要选择有较高等级安全芯片的硬件钱包。因为市面上有些硬件钱包依然是建立在安卓系统上的，即便是采用开源代码，也会存在较大的安全隐患，因为硬件钱包是软件和硬件的结合，软件层面没问题，不代表硬件层面不会出现问题。
关于开源的问题，我上边也谈到了开源≠安全，有个蛮有趣的问题可以思考一下：是闭源的苹果系统安全，还是开源的安卓系统安全？
我认为，一些场景下闭源反而会增大黑客攻击的难度。
07如何识别钱包？
imToken：超高收益和拉人头等具有明显CX和资金盘行为的项目，都需要引起用户注意。
其实，用户不是无法辨别什么是资金盘钱包，而是被高利益吸引，失去了理智。imToken之前在曝光MGC钱包的时候，有很多用户和我们说:我知道MGC是子项目，但是只要让更多人上当受，我就可以赚钱，你们这样曝光，就没有人上当了，我就要亏钱了。
所以，这不是如何帮助用户识别局的问题，而是人性的问题。庞氏局存在整整100年了，依然屡试不爽。还是希望用户能够理智一些，天上是不会掉馅饼的。
比特派：高利息的肯定是。钱包是用户自己保管私钥，私钥本身又没有高利息，如果公链有着Staking模型那当然是另一回事。所以，肯定是一眼就能看出来的。
08PoS区块链节点是否会成为钱包发展方向？
比特派：新公链一般都是PoS模型，也就会有Staking的收益和相关机制，而新公链在设计这块的时候，都会做成是钱包的场景。
我们已经开始为用户提供Staking服务了，这块的布局对我们来说是很自然的一件事情，未来主要的Sktaing公链我们都会提供一键Staking的服务，让用户更方便地使用相关功能。
imToken：我觉得钱包是Staking的天然平台，可以和PoS进行完美的融合。这会是钱包未来的一个重要业务。
我们团队也很关注Staking经济的发展，第一时间支持Cosmos公链和ATOM的Staking服务。同样，我们也对波卡等社区热门的优质项目保持关注，会在第一时间支持这些项目。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。