虛擬貨幣放在冷錢(qián)包還是交易所？該如何選擇？最近一段時(shí)間，幣安和 OKX 都不太平。幣安有用戶反饋惡意插件 Aggr 繞過(guò)幣安的 MFA（多因素身份認(rèn)證），通過(guò)對(duì)敲盜走了用戶的資產(chǎn)。OKX 則有用戶稱(chēng)黑客使用 AI 換臉繞過(guò) MFA 后更換了手機(jī)號(hào)、郵箱以及谷歌的驗(yàn)證器，隨后盜走用戶資產(chǎn)。
受害用戶們撰寫(xiě)了生動(dòng)的長(zhǎng)文，一石激起千層浪。一時(shí)間，人心惶惶，各種截圖謠言四起催促著人們趕緊提走代幣。但僅僅是遷走代幣，就夠了嗎？或許，這個(gè)問(wèn)題本身折射的思維模式，未必正確。安全從來(lái)不是一道單選題。
今天腳本之家小編給大家分享的是虛擬貨幣放在冷錢(qián)包還是交易所？該如何選擇的詳細(xì)介紹了，需要的朋友不要錯(cuò)過(guò)哦！
了解 Web2 賬戶安全的防線：MFA
如果你非要在冷錢(qián)包和交易所之前二選一，其實(shí)本質(zhì)上，就是在「私鑰」和「MFA 多因素身份認(rèn)證」之間選擇。
對(duì)于 MFA，如果你是一個(gè)多年的互聯(lián)網(wǎng)沖浪選手，或許你已深有體會(huì)——
不知道從什么時(shí)候開(kāi)始，一個(gè)簡(jiǎn)單的密碼已經(jīng)不夠了。短信驗(yàn)證碼、郵箱驗(yàn)證碼，甚至是人臉識(shí)別、谷歌驗(yàn)證器才是「主角」。國(guó)內(nèi)有的 APP 甚至不需要設(shè)置密碼，只需要手機(jī)驗(yàn)證碼。
這很好理解，大部分普通人設(shè)置的密碼根本不夠安全（很多密碼庫(kù)已經(jīng)被各大海內(nèi)外網(wǎng)站泄露無(wú)數(shù)次了），所以需要層層保護(hù)：
第一層，只有你知道的信息：如密碼、安全問(wèn)題；
第二層，只有你在持有的物品：如 SIM卡、手機(jī)、谷歌驗(yàn)證動(dòng)態(tài)密碼等；
第三層，只有你本人有的特征：如指紋、虹膜、人臉、聲音等。
一個(gè)常見(jiàn)的認(rèn)證因子組合：密碼 郵箱驗(yàn)證碼 手機(jī)驗(yàn)證碼 谷歌驗(yàn)證器動(dòng)態(tài)密碼 用戶人臉身份信息。
是不是聽(tīng)起來(lái)無(wú)懈可擊？理論上來(lái)說(shuō)，啟用了完全的 MFA ，賬戶應(yīng)該非常安全。即使某一層被突破，黑客也無(wú)法訪問(wèn)帳戶，除非他們也獲得了其他身份驗(yàn)證因素。
但是實(shí)際上并非如此。
在各大互聯(lián)網(wǎng)公司中的業(yè)務(wù)流程中，他們可能會(huì)為了簡(jiǎn)化用戶的操作采取動(dòng)態(tài)式的、選擇性地驗(yàn)證。
這時(shí)候，真正重要的便是其風(fēng)控方案（如異地登陸、異常操作識(shí)別）能否覆蓋到用戶操作的邊緣情況。
以推特為例，2023 年 9 月，以太坊創(chuàng)始人 Vitalik 遭遇了 SimSwap（Sim 卡交換）攻擊——即有黑客通過(guò)社會(huì)工程學(xué)，讓服務(wù)商 T-mobile 轉(zhuǎn)移 Vitalik 手機(jī)號(hào)到黑客手機(jī)上。隨后 Vitalik 的推特發(fā)布了詐 騙信息，導(dǎo)致了約 69 萬(wàn)美元的損失。
Vitalik 事后在 Warcast（一個(gè)去中心化社交平臺(tái)） 上感嘆，一個(gè)電話號(hào)碼足以重置 Twitter 賬戶的密碼，電話號(hào)碼并不安全。慢霧科技的首席信息安全官也表示，SimSwap 攻擊成本不高，甚至黑市里都有 SimSwap 劫持的報(bào)價(jià)。（出處（https://x.com/WuBlockchain/status/1701407498174108136 、https://chaincatcher.com/article/2101231）。
可見(jiàn)，即使有 MFA 的存在，在手機(jī)號(hào)驗(yàn)證權(quán)限過(guò)大、沒(méi)有識(shí)別出異常登陸的情況下，推特沒(méi)有阻擋黑客的攻擊。當(dāng)然，這也可能是推特在效率和安全上的平衡。
這種平衡，在涉及管理用戶資產(chǎn)的交易所更是一個(gè)難題。
以幣安用戶因惡意插件丟失資產(chǎn)為例。黑客實(shí)際上并無(wú)法通過(guò)直接提幣到鏈上盜取用戶的資產(chǎn)，因?yàn)檫@肯定會(huì)需要過(guò) MFA。所以，黑客使用了交易操作進(jìn)行對(duì)敲，通過(guò)來(lái)回虧損交易某個(gè)小市值代幣讓黑客從波動(dòng)中獲利。隨后快速地從另一個(gè)賬戶提走，完成盜幣。
然而，對(duì)于登陸狀態(tài)下的交易所，大部分人肯定是希望交易能夠及時(shí)、快速。大家肯定不希望在快速買(mǎi)賣(mài)的過(guò)程中還要驗(yàn)證幾層 MFA。在這一點(diǎn)上，幣安只能通過(guò)升級(jí)更復(fù)雜的風(fēng)控方案（比如識(shí)別對(duì)敲）來(lái)解決，而不是使用 MFA 去影響用戶交易的效率。
放棄一勞永逸，唯有狡兔三窟
看完前一部分內(nèi)容，相信你已經(jīng)知道理解了 MFA 并不完美，仍需要通過(guò)風(fēng)控方案來(lái)進(jìn)行平衡效率和安全。強(qiáng)如世界級(jí)大所，也需要一直升級(jí)。
而選擇私鑰，便是自我承擔(dān)風(fēng)控方案的開(kāi)始，這升級(jí)的壓力來(lái)到了你的身上。
你是否做好了準(zhǔn)備完全控制自己的加密資產(chǎn)？你也許一開(kāi)始只是簡(jiǎn)單地從小狐貍上抄寫(xiě)私鑰到小紙條上，但很快你就會(huì)發(fā)現(xiàn)這遠(yuǎn)遠(yuǎn)不夠。
你依然需要：
- 以相同的力度防止黑客入侵你的電腦；
- 以相同的警覺(jué)度防范最新的黑客釣魚(yú)、社會(huì)工程攻擊；
- 在常用熱交互錢(qián)包、冷錢(qián)包之間分配資金，同時(shí)管理授權(quán)；
- 付出一些額外成本，如使用硬件錢(qián)包保護(hù)隔離私鑰，甚至是更高級(jí)的方案
到這一步，你會(huì)發(fā)現(xiàn)「放在冷錢(qián)包還是交易所，到底怎么選？」并不是一個(gè)好問(wèn)題。私鑰和 MFA 都各有好處和權(quán)衡。
對(duì)于系統(tǒng)性地管理資產(chǎn)安全，思考這幾個(gè)問(wèn)題才是更重要的：
- 有哪些風(fēng)險(xiǎn)？對(duì)于大部分用戶來(lái)說(shuō)，就是防黑客入侵與釣魚(yú)；
- 如何分散風(fēng)險(xiǎn)？通過(guò)多樣化和冗余的策略來(lái)降低單點(diǎn)故障的風(fēng)險(xiǎn)；在 Defi 圈子里，有句話叫「一礦一地址」，可以體會(huì)下；
- 如何降低風(fēng)險(xiǎn)？是否在能力范圍內(nèi)采取各種各樣的預(yù)防措施和控制措施，比如安裝安全插件、使用硬件錢(qián)包甚至是多簽；
- 如何應(yīng)對(duì)風(fēng)險(xiǎn)？制定應(yīng)急響應(yīng)計(jì)劃和災(zāi)難恢復(fù)計(jì)劃，比如如何最快聯(lián)系到如慢霧這樣安全機(jī)構(gòu)進(jìn)行資產(chǎn)被盜后的補(bǔ)救。
這些問(wèn)題，對(duì)于不同資產(chǎn)規(guī)模、不同需求的用戶，回答都不同。
搞清楚這些問(wèn)題之后，或許我們就不會(huì)再問(wèn)標(biāo)題所提到的問(wèn)題，做一些諸如把全部資產(chǎn)放在一個(gè)交易所、使用存放大額資產(chǎn)的錢(qián)包去交互陌生網(wǎng)站的操作了。
（推薦閱讀：A0 ～ A9 成神之路的加密資產(chǎn)保管方案，你在什么段位？https://x.com/OneKeyCN/status/1792075838617452688）
結(jié)語(yǔ)：安全是反人性的
投資通常是反人性的，安全亦然。
安全被黑客攻破，最終往往是由于人性的弱點(diǎn)被利用——如懶惰、貪婪和輕視。
我們深知一些用戶只想要一個(gè)簡(jiǎn)單的答案，比如用 App 這個(gè)就安全、買(mǎi)了這個(gè)硬件錢(qián)包就能解決一切問(wèn)題。就像大家永遠(yuǎn)在問(wèn)，買(mǎi)了哪個(gè)幣能發(fā)財(cái)。
作為一家負(fù)責(zé)的加密安全解決方案提供商，我們必須誠(chéng)實(shí)地說(shuō)——安全不是一個(gè)簡(jiǎn)單的結(jié)果，而是一個(gè)思想和實(shí)踐過(guò)程。
有人說(shuō)，認(rèn)知決定了財(cái)富獲取的高度。
同樣地，認(rèn)知也決定財(cái)富守護(hù)的底線。
以上就是腳本之家小編給大家分享的虛擬貨幣放在冷錢(qián)包還是交易所？該如何選擇的詳細(xì)介紹了，希望大家喜歡！
鄭重聲明：本文版權(quán)歸原作者所有，轉(zhuǎn)載文章僅為傳播更多信息之目的，如作者信息標(biāo)記有誤，請(qǐng)第一時(shí)間聯(lián)系我們修改或刪除，多謝。
