作者：day
近期业内各种钱包安全事件层出不穷：
4月18日，MetaMask 钱包开发人员/img/2023525193141/0.jpg">
4月22日，Trust Wallet发布公告，去年11月14日至23日创建新钱包的地址存在漏洞，为受影响用户创建补偿流程。
随着DeFi、NFT等链上交互需求的爆发，行业早已不像早期那会儿，只要在CEX买coin并放在CEX就可以满足大多数投资者的需求，大多数投资者会将部分甚至全部Token放在自己的钱包里，这也导致了这个行业变成了黑客的天堂、时不时会传出一些投资者因为授权，下载假的APP泄漏私钥或者钱包自身漏洞等问题，导致自己资产被盗，到头来变成一场空，保证自有资产安全已经成为行业内一项必不可少的技能。
接下来，我们将从钱包相关知识、被盗案例以及保护私钥等知识等几个方面来全面了解如何保护区块链资产安全。
钱包相关知识
加密分析师：“不要卖”你的比特币给贝莱德:8月5日消息，新西兰加密货币分析师 Lark Davis 发推称：贝莱德正在为你的比特币而来，不要把比特币卖给他们。据悉，Lark Davis在Twitter拥有超100万的粉丝。
昨日消息，Coinbase与贝莱德达成战略合作伙伴关系，贝莱德将通过Coinbase Prime为其客户提供加密交易和托管服务。[2022/8/6 12:05:44]
在保证自己资产安全之前，需要先对业内一些关于钱包等基础知识有一定了解，才能更好的理解如何保护自己的资产。接下来简单介绍下几个相关概念。
1.对称加密与非对称加密
在了解公（私）钥之前，我们先简单了解下密码学中的对称加密与非对称加密。对称加密，是指A通过某种算法，可以得到B，而反过来，B通过相同的算法也可以逆向解密出A，这里加密解密用的是同一种算法；而非对称加密，则是A通过某种算法，可以得到B，但B无法通过相同的算法逆向解密出B，这里的加密解密需要用到不同的算法。
如图，对称加密与非对称加密的区别在于图中消息接收方公钥与消息接收方私钥是否为同一把钥匙。
2.公（私）钥，助记词，地址
了解了对称加密与非对称加密，可以更好的理解一些钱包相关的基本概念。
密钥对：在非对称加密中，有一对密钥对，分别为公钥与私钥，公钥是公开的，私钥是不公开的。
Jack Dorsey回应a16z合伙人：老实做你的风投合伙人:1月4日消息，a16z 合伙人 Chris Dixon 在推特上发布谁拥有 Web2，并贴出包括 Jack Dorsey 的 Block（前 Square）在内的 4 家公司股东信息。数据显示，包括摩根士丹利、富达、高盛在内的 Block 公司前十大股权所有者总计持有超 30% 的股份。
对此，Jack Dorsey 回应 Chris Dixon：老老实实做你的 LP（有限合伙人）去吧。Chris Dixon 则表示：a16z 的 LP 主要是高校和基金会。虽然我们试图找到向公众开放 a16z 资金的途径，但当下的美国法律禁止这样做。[2022/1/4 8:24:04]
公钥：用来给数据加密，用公钥加密的数据只能使用私钥解密。
私钥：私钥可以生成公钥，用来解密公钥加密的数据。
地址：与“公钥”相对应，由于公钥过长，于是有了“地址” ，地址由公钥生成。
助记词：与“私钥”相对应，因为私钥是随机生成的字符串，过长且难记，于是催生了一组人类可读的单词代替私钥，用来帮助用户记住私钥，一般是12个无规律的短语。（私钥=助记词）
图源网络：链上交易过程
电子签名：某条信息（你给某人转账100个以太坊），这条信息需要你的私钥签名后，广播到区块链上。
签名验证：接收端可以通过你的公钥验证这个消息确实是通过你的私钥签名，那就是你发布的，交易记录上链，因此，谁掌握了私钥，谁就掌握了该钱包。
律师观点：“Archer诉Coinbase”一案再次佐证了“不是你的私钥，就不是你代币”:律师Justin Wales概述了近期加密货币行业内部发生的案件，并指出该案的判决再一次佐证了一句真理——“不是你的私钥，就不是你代币”。
Justin Wales给出的例子为“Archer诉Coinbase”一案。在本案中，原告Darrell Archer起诉Coinbase违反了用户协议，原因是该公司拒绝向其提供此前由比特币分叉而生成的比特币黄金（BTG）。在分叉发生时，Archer在Coinbase上存储了350枚比特币，Archer表示这将产生价值约15.9万美元的BTG。但由于Archer已将其比特币的控制权委托给了Coinbase，因此其无法自行获取分叉而出的BTG。在本案的判决中，加州第一上诉法院认为，Coinbase的用户协议中没有规定交付BTG的义务，因此无需向Archer交付BTG。（Decrypt）[2020/8/23]
简单理解，公钥（地址）相当于你的账号，而私钥（助记词），则相当于你的账号+密码（私钥可以生成公钥）。
用银行卡来类比，公钥=银行账户，地址=银行卡号，密码=银行卡密码，私钥=银行卡号+银行卡密码，助记词=私钥=银行卡号+银行卡密码，Keystore+密码=私钥，。
3.私钥（助记词）的保存
你的coin并不是存在你的钱包APP中，而是存在区块链网络中私钥对应的地址之中，只要你拥有私钥，就可以通过私钥来登录所有的钱包（该钱包支持你有coin的这条链），钱包仅仅是作为账户资金显示的前端，并不保存你的私钥。
如果私钥丢了，意味着你的资产也将丢失，无法通过钱包找回，首次注册钱包时，钱包页面一般也会提醒用户注意这点。这点和我们之前用到的QQ，微信完全不同，如果密码丢失，还可以通过手机验证，问题以及好友验证可以找回，当然，这也是区块链去中心化的魅力所在，你的资产完全属于你自己。
《富爸爸，穷爸爸》作者：储存黄金比特币来防止美联储印钞偷走你的钱:6月23日消息，《富爸爸，穷爸爸》作者罗伯特·清崎（Robert Kiyosaki）表示，真正的钱是在人们生产的时候创造出来的。如果你烤饼干并将饼干卖出去，你就创造了真正的钱。而当有人受雇却不做任何事时，你的钱就被偷了。同理，当美联储印出数万亿美元钞票时，美联储给所有人都施加了压力。储存黄金、白银和比特币，以此来防止小偷偷走你的钱。（U.Today）[2020/6/23]
4.钱包种类
根据私钥是否触网，可以将钱包分为热钱包与冷钱包，如上图。
热钱包：客户端钱包、插件钱包、手机端APP。
使用方便，新手易操作，交易转账的效率比较高，安全性较差，容易被盗。
冷钱包：硬件钱包。
安全性高，适合存放大额资产，创建复杂，转账麻烦，硬件损坏或私钥丢失都可能造成数字资产的丢失。
通过以上，我们可以知道，私钥即一切，而我们所有保护资产的措施，其实都是保护私钥，保护私钥，保护私钥。（防止私钥的丢失，被他人获取）
被盗案例
了解了相关的概念，我们再来看下，目前主要存在哪些丢失的案例，通过案例，我们可以更好的保护我们自己的钱包。
1.私钥（助记词）泄漏
2021年初，生财有术创始人亦仁，将比特币私钥保存在云笔记中，导致八位数资产的BTC丢失。
火绒团队发出警告 挖矿病或已植入你的电脑之中:12月19日，火绒安全团队发出警报，当用户从某网站下载激活工具KMSpico（简称KMS）时，电脑将被植入挖矿病“Trojan/Miner”。病入侵用户电脑后，会利用电脑疯狂“挖矿”（生产“门罗币”），让这些用户电脑沦为他们牟取利益的“肉鸡”。同时，火绒安全团队发现，该网站在百度、谷歌、必应等多家搜索引擎中，搜索结果位置都极靠前。[2017/12/19]
22年11月，分布式资本创始人沈波价值4200万美元的数字资产被盗，被盗资产包括：38,233,180 枚 USDC、1607 枚 ETH、719,760 枚 USDT 以及 4.13 枚 BTC。据安全机构慢雾后续分析称，被盗是因为助记词泄漏所导致。
2.私钥（助记词）丢失
英国IT工程师James Howells在2013年弄丢电脑硬盘，里面存有8000枚比特币，9年后，计划花7430万美金翻遍垃圾场来找回电脑硬盘。
3.点击病链接
一用户胡乱点击别人发送的链接，导致黑客读取metamask本地加密备份，所有资产被盗。
推特KOL点击别人私发链接，导致推特账户被盗，然后发布带空投信息，利用粉丝对KOL的信任点击链接盗走粉丝资产。
4.随意授权，应用出现漏洞
10 月 2 日，Token Pocket 旗下闪兑 DEX Transit Swap 官方表示遭遇黑客攻击，资产损失超 1500 万美元，提醒用户取消授权。
10 月 11 日，DeBank团队开发的插件钱包Rabby称其Swap合约存在漏洞，建议用户取消Rabby Swap授权，最终黑客获利超19万美元。
5.下载假的APP（带病软件）
一些黑客获取平台用户信息后，通过短信给用户散布恐慌信息，平台已经不安全，需要点击链接重新安装应用或登录账户，登录后，账户资金被盗。
一用户下载假的Binance app，转账时，转入其他人地址，5个ETH的资产彻底丢失。
我们从上述案例可以看出，用户资产被盗，主要集中在这几种情况：私钥（助记词）泄漏，私钥（助记词）丢失，点击病链接，随意授权，应用出现漏洞,下载假的APP（带病软件）等几种情况。
接下来，我们来整理下有哪些方法可以避免上述情况的发生。
如何避免财产损失
1.私钥的保存（核心：不易丢失，不易损坏，其他人无法接触或接触也无法使用）
钱包生成后及时备份，双重备份，因为一旦丢失，将无法找回
助记词保存在不联网且不易丢失和损坏的介质上，比如抄在纸上，自己进行加密（增加或减少特定字符，方便记忆）；找一台永不联网手机的拍照存储；有一些钱包提供商会出售助记词相关的铁板。
使用冷钱包（硬件钱包），选择知名的冷钱包；应从官方渠道购买，不要通过第三方渠道购买（第三方渠道可能存在病）；设置较强的密码，同时备份私钥，防止硬件钱包丢失或损坏。
2.防止私钥（助记词）泄漏
不要复制粘贴私钥，有些软件可以读取用户的剪切板
不要将私钥保存在微信收藏，传输文件，百度云，印象笔记等网络平台
绝不告诉任何人私钥，记住，是任何人，一些子假冒钱包官方人取你的私钥，不要相信，钱包方也没有权力获取用户私钥
使用公共Wi-Fi时，不要复制粘贴私钥
下载各种应用，应去官方渠道，所有应用商店有时也不可信（记住，是所有），存在虚假应用
钱包签名时要谨慎，DeFi 协议和NFT交互重度用户，记得及时撤销授权，防止应用出现漏洞后导致资产被盗
不要随意点击别人发送的链接（短信），下载别人分享的文件，甚至一些kol的链接也不要随意点击，有可能含有病
一旦发现钱包有一点资产泄漏，应第一时间舍弃钱包，不要抱任何侥幸心理
不使用免费的VPN
紧跟新闻，实时了解新的被盗信息
以上所有的措施，其实都是为了保护你的私钥不泄密，Not your key, not your coin！
3.资产分散放置
可以将自身资金分散放置在钱包与交易平台中，虽然FTX出事，导致中心化交易平台信任缺失，但对于绝大多数人来说，资产放在几个中心化头部交易平台比拿在自己手中相对要安全很多，便利性也会比钱包好一些，只要不是特别大的损失，几个头部平台一般都能赔的起。
使用中心化交易平台需要注意几点：
开启三重验证（手机，邮箱，谷歌二次验证）
开启提coin白名单
从官方渠道下载App
转账时，确认地址是否正确
图源网络
结语
通过上述相关知识，可以使新手用户对区块链资产安全的相关的知识有个全面的认识，随着区块链的发展，链上交互的增加，使得钱包的使用也将逐渐变成一项重要基础技能，各种措施，其实都没有绝对的安全，只是相对来说，可以让我们避掉大多数坑，而随着区块链的发展，也会不断出现新的问题，需要我们不断提升自己的知识储备。
小额资金，可以不完全遵照上面的方式来保存，但自己大仓位资金的保存，一定要慎重慎重再慎重，因为你的一次失误，可能导致你永远被区块链这条列车所甩开，永远无法追上。
白话区块链
媒体专栏
阅读更多
金色财经 善欧巴
Chainlink预言机
金色早8点
Odaily星球日报
欧科云链
深潮TechFlow
BTCStudy
MarsBit
Arcane Labs
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。