温馨提示：本站仅提供公开网络链接索引服务，不存储、不篡改任何第三方内容，所有内容版权归原作者所有
AI智能索引来源：http://www.bee.com/zh/5287.html
点击访问原文链接

Blockchain dark forest selfguard handbook | Bee Network

进入原网站 导航首页
Blockchain dark forest selfguard handbook | Bee Network Login 熱門新聞 Meme Launchpad AI 代理商 DeSci 熱門鏈瀏覽器 新人必讀 衝百倍幣 蜜蜂遊戲 必備網站 必備APP 必關大神 DePIN 新人必備 教我避坑 基本工具 深度網站 交易所 NFT 工具 你好， 登出 Web3宇宙 遊戲 DApp 蜂巢 增長平台 生態 搜尋 英語 Coins儲值 登入 下載 Web3大學 遊戲 DApp 蜂巢 生態 家•新人必讀•正文 區塊鏈黑暗森林自我守護手冊新人必讀3yrs ago (2023)更新懷亞特 81,163 137

（資料來源：https://github.com/slowmist/Blockchain-dark-forest-selfguard-handbook）

序幕

首先，恭喜您找到這本手冊！無論你是誰——如果你是加密貨幣持有者或你想將來進入加密世界，這本手冊都會對你有很大幫助。您應該仔細閱讀本手冊並將其教導應用到現實生活中。

此外，要完全理解本手冊需要一些背景知識。不過，請不要擔心。對於初學者來說，不要害怕可以克服的知識障礙。如果你遇到不懂的東西，需要進一步探索，強烈推薦Google。此外，記住一條安全規則也很重要：保持懷疑！無論您在網路上看到什麼訊息，您都應該始終尋找至少兩個來源以進行交叉引用。

再次強調，始終保持懷疑態度，包括本手冊中所提及的知識。

區塊鏈是一項偉大的發明，帶來了生產關係的改變，並在某種程度上解決了信任問題。具體來說，區塊鏈創造了許多不需要中心化和第三方的「信任」場景，例如不變性、按約定執行、防止否認等。然而，現實是殘酷的。人們對區塊鏈有許多誤解，不法之徒就會利用這些誤解來鑽漏洞，竊取人們的錢財，造成大量的經濟損失。如今，加密世界變成了一片黑暗森林。

請記住以下兩條安全規則，才能在區塊鏈黑暗森林中生存。

零信任：簡單來說，保持懷疑，並且始終保持如此。 持續安全驗證：為了相信某件事，你必須驗證你懷疑的東西，並讓驗證成為一種習慣。

註：以上兩條安全規則是本手冊的核心原則，本手冊中提到的所有其他安全原則都源自於它們。

好了，我們的介紹就到這裡了。讓我們從一張圖開始，探索這片黑暗森林，看看我們會遇到哪些風險以及我們應該如何應對。

圖表

您可以先瀏覽此圖，然後再仔細查看手冊的其餘部分。它是關於這個世界上的關鍵活動（無論你想怎麼稱呼它：區塊鏈、加密貨幣或 Web3），它由三個主要過程組成：創建錢包、備份錢包和使用錢包。

讓我們跟隨這三個過程並逐一分析。

創建錢包

錢包的核心是私鑰（或助記詞）。

私鑰如下所示：

0xa164d4767469de4faf09793ceea07d5a2f5d3cef7f6a9658916c581829ff5584

此外，種子短語如下所示：

殘酷的週末尖峰點無辜頭暈外星人使用喚起棚調整錯誤

注意：我們在這裡使用以太坊作為範例。請自行查看私鑰/助記詞的更多詳細資訊。

私鑰是您的身分。如果私鑰遺失/被盜，那麼您就遺失了您的身分。有許多著名的錢包應用程序，本手冊不會涵蓋所有這些應用程式。

不過，我會提到一些特定的錢包。請注意，這裡提到的錢包在某種程度上是可信的。但我不能保證它們在使用過程中不會出現預期或預期之外的安全問題或風險（我不再重複，請始終牢記序言中提到的兩個主要安全規則）

按應用程式分類，有PC錢包、瀏覽器擴充錢包、手機錢包、硬體錢包和網頁錢包。從網路連線方面來說，主要可以分為冷錢包和熱錢包。在我們進入加密世界之前，我們必須先考慮錢包的用途。用途不僅決定了我們應該使用哪個錢包，還決定了我們如何使用錢包。

無論你選擇哪種錢包，有一點是肯定的：當你在這個世界上有了足夠的經驗之後，一個錢包是不夠的。

這裡我們要牢記另一個安全原則：隔離，不要把所有雞蛋放在一個籃子裡。錢包使用得越頻繁，風險就越大。永遠記住：嘗試任何新事物時，首先準備一個單獨的錢包，然後用少量的錢嘗試一段時間。即使對於我這樣的加密老手來說，如果你玩火，你也更容易被燒傷。

下載

這聽起來很簡單，但實際上並不容易。原因如下：

很多人找不到真正的官方網站，或是合適的應用程式市場，最後安裝了假錢包。 很多人不知道如何識別下載的應用程式是否被篡改。

因此，對許多人來說，在進入區塊鏈世界之前，錢包就已經空了。

解決上面的第一個問題，有一些技巧可以找到正確的官網，例如

使用谷歌 使用知名官方網站，例如CoinMarketCap 詢問值得信賴的人和朋友

您可以對照從這些不同來源獲得的信息，最終只有一個真相：）恭喜您，您找到了正確的官方網站。

接下來，您必須下載並安裝該應用程式。 如果是PC錢包，從官網下載後，需自行安裝。強烈建議在安裝前驗證連結是否被篡改。雖然這種驗證可能無法防止原始碼被完全篡改的情況（由於內部詐騙、內部駭客、或官網可能被駭客攻擊等），但是可以防止原始碼部分篡改等情況，中間人攻擊等

驗證文件是否被竄改的方法就是文件一致性檢查。通常有兩種方式：

哈希檢查：例如MD5、SHA256等。MD5適用於大多數情況，但仍有微小的哈希衝突風險，所以我們一般選擇SHA256，足夠安全。 GPG簽名驗證: 這個方法也很流行。強烈建議掌握GPG工具、指令與方法。雖然這個方法對於新手來說有點困難，但是一旦熟悉了就會發現非常有用。

然而，加密世界中提供驗證的項目並不多。所以，能找到一個人是一件很幸運的事。例如，這是一個名為 Sparrow Wallet 的比特幣錢包。它的下載頁面上寫著“Verifying the Release”，真是令人印象深刻，而且上面提到的兩種方法都有明確的指導方針，大家可以參考一下：

https://sparrowwallet.com/download/

下載頁面提到了兩個GPG工具：

GPG 套件，適用於 MacOS。 Gpg4win，適用於 Windows。

如果您留意的話，您會發現這兩種 GPG 工具的下載頁面都提供了一些有關如何檢查兩種方法的一致性的說明。不過，沒有一步一步的指導，也就是說，需要你自己學習和練習:)

如果是瀏覽器擴充錢包，例如MetaMask，你唯一要注意的是Chrome網上商店中的下載數量和評級。例如，MetaMask 的下載量超過 1000 萬次，評分超過 2000 條（儘管總體評分不高）。有些人可能認為下載量和收視率可能被誇大了。說實話，造假這麼大的數字是非常困難的。

手機錢包 類似瀏覽器擴充錢包。不過要注意的是，App Store針對每個地區都有不同的版本。加密貨幣在中國大陸是被禁止的，所以如果你是用中國的App Store帳號下載的錢包，只有一個建議：不要使用，換成美國等其他地區的帳號再重新下載它。另外，正確的官網也會引導你正確的下載方式（如imToken、Trust Wallet等）。官網保持較高的網站安全性非常重要，如果官網被駭了，就會出大問題。 ）。

如果是硬體錢包，強烈建議從官方網站購買。不要從網上商店購買它們。收到錢包後，也要注意錢包是否完好。當然，包裝上也有一些難以察覺的惡作劇。無論如何，在使用硬體錢包時，您應該從頭開始至少創建三次助記詞和錢包地址。並確保它們不重複。

如果是網頁錢包，我們強烈建議不要使用它。除非你別無選擇，否則請確保它是正品，然後謹慎使用，切勿依賴它。

助記詞

創建錢包後，我們直接處理的關鍵是助記詞/助記詞，而不是私鑰，這樣更容易記住。助記詞有標準約定（例如BIP39）；英文單字一般有12個；可以是其他數字（3的倍數），但不能超過24個字。否則太複雜，不容易記住。若字數少於12，則安全性不可靠。常見的是 12/15/18/21/24 個字。在區塊鏈世界裡，12個字已經很流行，也夠安全。但是，仍然有硬派硬體錢包，像是Ledger，是24個字開頭的。除了英文單字外，還可以使用一些其他語言，例如中文、日文、韓文等。以下是 2048 個單字清單供參考：

https://github.com/bitcoin/bips/blob/master/bip-0039/bip-0039-wordlists.md

創建錢包時，您的助記詞很容易受到攻擊。請注意，您周圍沒有人、網路攝影機或任何其他可能竊取您助記詞的東西。

另外，請注意助記詞是否是隨機產生的。通常知名錢包可以產生足夠數量的隨機種子短語。但是，您應該始終小心。很難知道錢包是否有問題。請保持耐心，因為養成這些習慣對您的安全非常有益。最後，有時您甚至可以考慮斷開與互聯網的連接來創建錢包，特別是如果您要將錢包用作冷錢包。斷開與互聯網的連接總是有效的。

免鑰匙

無鑰匙意味著沒有私鑰。這裡我們將Keyless分成兩大場景（為了方便解釋。這樣的劃分不是業界標準）

保管。例如中心化交易所和錢包，用戶只需要註冊帳戶，不擁有私鑰。他們的安全性完全依賴這些中心化平台。 非託管。使用者擁有類似私鑰的控制權，但它不是實際的私鑰（或助記詞）。它依賴知名的雲端平台進行託管和身份驗證/授權。因此雲端平台的安全性成為最脆弱的部分。其他公司則利用安全多方運算 (MPC) 來消除單點風險，並與流行的雲端平台合作以最大限度地提高用戶體驗。

就我個人而言，我使用過各種 Keyless 工具。財力雄厚、信譽良好的中心化交易所提供了最好的體驗。只要您個人不對丟失代幣負責（例如您的帳戶資訊被駭客入侵），中心化交易所通常會補償您的損失。基於MPC的Keyless方案看起來很有前景，值得推廣。我對 ZenGo、Fireblocks 和 Safeheron 有很好的經驗。優點很明顯：

MPC演算法工程在知名的區塊鏈上越來越成熟，只需要針對私鑰操作。 一套想法就可以解決不同區塊鏈多重簽章方案差異巨大的問題，創造一致的使用者體驗，也就是我們常說的：通用多重簽章。 透過多重簽章計算，可以保證真正的私鑰永遠不會出現，解決單點風險。 與雲端（或Web2.0技術）結合，使得MPC不僅安全，而且創造了良好的體驗。

然而，仍然存在一些缺點：

並非所有開源專案都能滿足業界公認的標準。還需要做更多的工作。 很多人基本上只使用以太坊（或基於EVM的區塊鏈）。因此，像 Gnosis Safe 這樣基於智慧合約方法的多重簽名解決方案就足夠了。

總的來說，無論你使用哪種工具，只要你感到安全可控、體驗良好，就是一個好工具。

到目前為止，我們已經介紹了有關創建錢包需要注意的事項。其他一般安全問題將在後面的部分介紹。

備份你的錢包

這就是很多好手會落入陷阱的地方，包括我自己。我沒有正確備份，我知道這種情況遲早會發生。幸運的是，這不是一個有大量資產的錢包，慢霧的朋友幫我找回了它。儘管如此，這仍然是一次可怕的經歷，我認為沒有人願意經歷。因此，請繫好安全帶，讓我們學習如何安全備份您的錢包。

助記詞/私鑰

當我們談論備份錢包時，本質上是在談論備份助記詞（或私鑰，為了方便起見，下面我們將使用助記詞）。大多數助記詞可以分為以下幾類：

純文字 有密碼 多重簽名 沙米爾的秘密共享，簡稱 SSS

我將簡要解釋每種類型。

純文字，純文字很容易理解。一旦你掌握了這 12 個英文單詞，你就擁有了錢包中的資產。您可以考慮進行一些特殊的改組，甚至用其他單字取代其中一個單字。兩者都會增加駭客侵入你錢包的難度，但如果你忘記了這些規則，你會很頭痛。你的記憶力並不是刀槍不入的。相信我，幾年後你的記憶就會變得混亂。幾年前，當我使用Ledger硬體錢包時，我改變了24個單字助記詞的順序。幾年後，我忘記了順序，也不確定是否替換了任何單字。如前所述，我的問題是透過一個特殊的程式碼解密程式解決的，該程式使用強力來猜測正確的序列和單字。

有密碼，根據標準，助記詞可以有密碼。它仍然是相同的短語，但使用密碼時，將獲得不同的種子短語。種子短語用於派生一系列私鑰、公鑰和相應的地址。所以不僅要備份助記詞，還要備份密碼。順便說一句，私鑰也可以有密碼，它有自己的標準，例如比特幣的 BIP 38 和以太坊的 Keystore。

多重簽名，顧名思義，需要多人簽名才能存取錢包。它非常靈活，因為您可以設定自己的規則。例如，如果有 3 個人擁有金鑰（助記詞或私鑰），則可以要求至少兩個人簽署才能存取錢包。每個區塊鏈都有自己的多重簽名解決方案。大多數知名的比特幣錢包都支援多重簽名。然而，在以太坊中，多重簽名主要透過智能合約來支持，例如 Gnosis Safe。此外，MPC（安全多方運算）變得越來越流行。它提供了類似於傳統多重簽章的體驗，但採用了不同的技術。與多重簽章不同，MPC 與區塊鏈無關，並且可以適用於所有協定。

SSS，Shamir 的秘密共享，SSS 將種子分解為多個共享（通常每個共享包含 20 個單字）。要恢復錢包，必須收集並使用指定數量的份額。有關詳細信息，請參閱以下行業最佳實踐：

https://support.keyst.one/advanced-features/recovery-phrase/import-or-create-shamir-backup
https://wiki.trezor.io/Shamir_backup

使用多重簽章、SSS等解決方案可以讓您安心，避免單點風險，但管理相對複雜，有時會涉及多方。便利性和安全性之間總是需要妥協。由個人決定，但原則上絕對不能偷懶。

加密

加密是一個非常非常廣泛的概念。加密是對稱的、非對稱的還是使用其他先進技術都沒關係；只要加密的訊息可以被您或您的緊急處理團隊輕鬆解密，但幾十年後其他人都無法解密，那麼它就是好的加密。

基於「零信任」的安全原則，我們在備份錢包時，必須假設任何一步都可能被駭客入侵，包括保險箱等實體環境。請記住，除了你自己之外，沒有人可以完全信任。事實上，有時你甚至不能相信自己，因為你的記憶可能會消失或放錯地方。不過，我不會一直做出悲觀的假設，否則會導致一些不想要的結果。

備份時，必須特別考慮災難復原。災難復原的主要目的是避免單點風險。如果您離開或儲存備份的環境發生故障，會發生什麼情況？所以重要的東西一定要有容災人員，一定要有多重備份。

我不會過多闡述如何選擇災難復原人員，因為這取決於您信任的人。我將重點放在如何進行多重備份。讓我們來看看備份位置的一些基本形式：

雲 紙 裝置 腦

雲許多人不信任雲端備份，他們認為雲端備份很容易受到駭客攻擊。歸根結底，關鍵在於哪一方（進攻方或防守方）在人力和預算方面投入更多努力。就我個人而言，我對Google、蘋果、微軟等公司提供的雲端服務很有信心，因為我知道他們的安全團隊有多強大，以及他們在安全方面花了多少錢。除了對抗外部駭客，我也非常關心內部安全風控和隱私資料保護。我信任的少數服務提供者在這些領域做得相對更好。但沒有什麼是絕對的。如果我選擇這些雲端服務中的任何一個來備份重要資料（例如錢包），我肯定會至少再加密一次錢包。

我強烈建議掌握 GPG。可用於“簽名驗證”，同時提供強大的加密和解密安全性。您可以在以下位置了解有關 GPG 的更多資訊：

https://www.ruanyifeng.com/blog/2013/07/gpg.html

好了，你已經掌握了GPG 🙂 現在你已經在離線安全環境中用GPG 加密了錢包中的相關數據（助記詞或私鑰），現在你可以將加密文件直接扔到這些雲端服務中並保存在那裡。一切都會好起來的。但這裡需要提醒您：千萬不要遺失您的 GPG 私鑰或忘記私鑰密碼…

此時，您可能會發現這種額外的安全等級相當麻煩：您必須了解 GPG 並備份您的 GPG 私鑰和密碼。事實上，如果您已經完成了上述所有步驟，那麼您已經熟悉了該過程，並且不會感到困難或麻煩。我不再多說了，因為熟能生巧。

如果你想省點力氣，還有另一種可能，但它的安全性可能會打折扣。我無法衡量確切的折扣，但有時當我使用一些眾所周知的工具來尋求幫助時，我會偷懶。該工具是 1Password。最新版本的1Password已經支援直接儲存錢包相關數據，如助記詞、密碼、錢包位址等，方便用戶使用。其他工具（例如 Bitwarden）也可以實現類似的功能，但沒有那麼方便。

紙許多硬體錢包都附帶幾張高品質的紙卡，您可以在上面寫下助記詞（明文、SSS 等）。除了紙之外，有些人還用鋼板（耐火、耐水、耐腐蝕的，當然這些我沒試過）。複製助記詞後進行測試，如果一切正常，請將其放在您感到安全的地方，例如保險箱。我個人非常喜歡使用紙張，因為如果存放得當，紙張的使用壽命比電子產品長得多。

裝置，指各類設備；電子產品是常見的備份類型，例如電腦、iPad、iPhone、硬碟等，依個人喜好而定。我們還必須考慮設備之間的安全傳輸。我覺得使用 AirDrop 和 USB 等點對點方法很舒服，中間人很難劫持這個過程。我只是自然地擔心電子設備可能會在幾年後出現故障，所以我保持了每年至少檢查一次設備的習慣。有一些重複的步驟（例如加密），您可以參考雲端部分。

腦，依靠你的記憶是令人興奮的。其實，每個人都有自己的「記憶宮殿」。記憶並不神秘，可以透過訓練來更好地發揮作用。有些事情用記憶確實比較安全。是否僅僅依靠大腦是個人的選擇。但要注意兩個風險：一是記憶會隨著時間的推移而消失，容易造成混亂；另一個風險是您可能會發生事故。我就停在這裡，讓你探索更多。

現在你們都得到了支持。不要加密太多，否則幾年後你會吃虧的。根據「持續驗證」的安全原則，你的加密和備份方式，無論是否過度，都必須持續驗證，既可以定期驗證，也可以隨機驗證。驗證頻率取決於您的記憶，您不必完成整個過程。只要過程正確，部分驗證也是有效的。最後，還需要注意認證過程的保密性和安全性。

好吧，讓我們在這裡深呼吸一下。入門是最難的部分。現在你準備好了，讓我們進入這片黑暗的森林吧 🙂

如何使用您的錢包

創建並備份錢包後，真正的挑戰就來了。如果你不經常移動你的資產，或者你很少與 DeFi、NFT、GameFi 或 Web3 這些現在經常提到的流行術語的智能合約進行交互，那麼你的資產應該是相對安全的。

反洗錢

然而，「相對安全」並不意味著「完全沒有風險」。因為“你永遠不知道哪個先發生，明天還是事故”，對嗎？為什麼？想一想，你從哪裡得到加密貨幣？它不是憑空而來的，對吧？您隨時可能會遇到您所獲得的所有加密貨幣的 AML（反洗錢）。這意味著你此刻持有的加密貨幣可能是髒的，如果你不幸運的話，它甚至可能會直接凍結在鏈上。據公開報道，Tether曾根據執法機構的要求凍結了部分USDT資產。凍結資金清單可在此處找到。

https://dune.xyz/phabc/usdt—banned-addresses

您可以透過 USDT 合約驗證某個地址是否已被 Tether 凍結。

https://etherscan.io/token/0xdac17f958d2ee523a2206206994597c13d831ec7#readContract

使用目標錢包位址作為輸入 int isBlackListed 進行檢查。其他接受USDT的鏈也有類似的驗證方式。

但是，您的 BTC 和 ETH 永遠不應該被凍結。如果有一天這種情況真的發生，去中心化的信念也會崩潰。我們今天聽到的大多數加密貨幣資產凍結案例實際上都發生在中心化平台（例如Binance、Coinbase等），而不是區塊鏈上。當您的加密貨幣留在中心化交易平台時，您實際上並不擁有它們中的任何一個。當中心化平台凍結你的帳戶時，他們實際上是在撤銷你的交易或提領權限。凍結的概念可能會誤導該領域的新手。於是，一些魯莽的自媒體就會散播各種關於比特幣的陰謀論。

雖然您的BTC 和ETH 資產不會被凍結在區塊鏈上，但一旦您的資產轉移到這些平台，並且涉及執法部門正在處理的任何未決案件，中心化交易所可能會根據AML 的要求凍結您的資產。

為了更好地避免反洗錢問題，請務必選擇信譽良好的平台和個人作為交易對手。對於此類問題實際上有幾種解決方案。例如，在以太坊上，幾乎所有壞人和非常關心隱私的人都使用 Tornado Cash 進行混幣。我不會再深入探討這個主題，因為這裡的大多數方法都被用來作惡。

冷錢包

使用冷錢包的方式有很多種。從錢包的角度來看，只要不連接任何網絡，就可以被視為冷錢包。但是離線時如何使用呢？首先，如果你只是想接收加密貨幣，那沒什麼大不了的。冷錢包可以與手錶錢包搭配使用，例如imToken、Trust Wallet等，提供良好的體驗。只需添加目標錢包地址，這些錢包就可以變成手錶錢包。

如果我們想使用冷錢包發送加密貨幣，以下是最常用的方式：

QR 圖碼 USB 藍牙

所有這些都需要一個專門的應用程式（這裡稱為Light App）來與冷錢包配合使用。 Light 應用程式將與上述的 Watch-only 錢包一起上線。一旦我們了解底層的基本原理，我們就應該能夠理解這些方法。基本原則是：最終，這只是弄清楚如何將簽名內容廣播到區塊鏈上的問題。詳細流程如下：

待簽名的內容由 Light App 透過以下方式之一傳輸到冷錢包。 簽章由擁有私鑰的冷錢包處理，然後使用相同的方式傳回Light App Light App 在區塊鏈上播放簽署內容。

所以無論使用二維碼、USB或藍牙哪種方式，都應該遵循上述流程。當然，不同的方法，細節可能會有所不同。例如，二維碼的資訊容量有限，當簽章資料太大時，我們就必須將其拆分。

看起來有點麻煩，但習慣了就好多了。你甚至會感受到滿滿的安全感。不過，不要認為100%是安全的，因為這裡仍然有風險，而且已經有許多因為這些風險而造成重大損失的案例。以下是風險點：

沒有仔細檢查轉幣的目標地址，導致幣被轉給別人了。人有時是懶惰和粗心的。例如，大多數時候他們只檢查錢包地址的開頭和結尾幾位，而不是完全檢查整個地址。這給壞人留下了後門。他們將運行程式來獲取與您所需的目標地址相同的前幾位和後幾位的錢包地址，然後使用一些技巧將您的硬幣轉移目標地址替換為他們控制下的目標位址。 硬幣被授權到未知的地址。通常授權是以太坊智能合約代幣的機制，即「批准」功能，一個參數是目標授權地址，另一個是數量。很多人不理解這個機制，所以他們可能會向目標地址授權無限數量的代幣，此時目標地址就有權限將所有這些代幣轉走。這稱為授權硬幣盜竊，並且該技術還有其他變體，但我不會在這裡擴展。 有些看似不重要的簽名，其實背後隱藏著巨大的陷阱，我現在不深究，稍後會詳細解釋。 冷錢包可能沒有提供足夠的必要信息，導致您粗心、誤判。

這一切都歸結為兩點：

缺少「所見即所簽」的使用者互動安全機制。 使用者缺乏相關背景知識。 熱錢包

與冷錢包相比，熱錢包基本上具有冷錢包所具有的所有風險。另外，還有一個：秘密短語（或私鑰）被盜的風險。此時熱錢包還有更多的安全問題需要考慮，例如運作環境的安全性。如果存在與運行環境相關的病毒，則存在被盜的風險。還有一些熱錢包存在一定的漏洞，可以透過這些漏洞直接竊取密語。

除了常規的轉幣功能外，如果您想與其他 DApp（DeFi、NFT、GameFi 等）進行交互，您要么需要使用自己的瀏覽器直接訪問它們，要么通過 PC 瀏覽器中打開的 DApp 進行交互WalletConnect 協議。

注意：本手冊中提及的 DApp 預設指的是以太坊區塊鏈上運行的智慧合約專案。

預設情況下，此類互動不會導致秘密短語被盜，除非錢包安全設計本身有問題。從我們的安全審計和安全研究歷史來看，存在錢包秘密短語被目標頁面上的惡意 JavaScript 直接竊取的風險。然而，這種情況很少見，因為這實際上是一個極低級的錯誤，任何知名錢包都不會犯。

這些其實都不是我真正關心的問題，它們對我來說是可以管理的（對你來說也是如此）。我最大的擔憂/擔憂是：知名錢包的每次迭代如何確保不被植入惡意程式碼或後門？這個問題的含義很明確：我驗證了當前版本的錢包沒有安全性問題，並且我很舒服地使用它，但我不知道下一版本的安全性如何。畢竟，我或我的安全團隊不可能有那麼多時間和精力來完成所有驗證。

這裡已經發生了多起惡意程式碼或後門導致的盜幣事件，像是CoPay、AToken等，具體事件大家可以自行搜尋。

在這種情況下，作惡的方式有以下幾種：

當錢包運行時，惡意程式碼會將相關密語直接打包上傳到駭客控制的伺服器中。 當錢包運作時，用戶發起轉帳時，目標位址、金額等資訊會在錢包後台秘密替換，用戶很難察覺。 破壞與秘密短語產生相關的隨機數熵值，這使得它們相對容易破解。

安全是一個無知和知識的事情，有很多事情很容易被忽視或錯過。因此，對於持有重要資產的錢包，我的安全規則也很簡單：足夠使用時，不要輕易更新。

什麼是 DeFi 安全

當我們談論DApp時，它可以是DeFi、NFT或GameFi等。這些的安全基礎基本上相同，但它們也會有各自的功能。我們先以 DeFi 為例來解釋一下。當我們談論 DeFi 安全時，我們到底在說什麼？業內人士幾乎總是只看智能合約。看來智能合約好了，一切都會好起來的。事實上，這遠非事實。

DeFi 安全性至少包括以下幾個部分：

智能合約安全 區塊鏈基礎安全 前端安全 通訊安全 人類安全 財務安全 合規安全

智能合約安全

智慧合約安全確實是安全審計最重要的切入點，慢霧針對智慧合約的安全審計標準可以參考：

https://www.slowmist.com/service-smart-contract-security-audit.html

對於高階玩家來說，如果智能合約部分本身的安全性是可控的（是否能夠自我審計或看懂專業機構所發出的安全審計報告），那麼其他部分是否安全並不重要。可控是一個棘手的概念，其中一些取決於玩家自身的實力。例如，玩家對智能合約權限過高的風險有一定的要求。如果專案本身很強大，而且背後的人有很好的聲譽，那麼完全中心化就沒有關係。然而，對於那些不太知名、有爭議或新興的項目，如果你意識到該項目的智能合約存在過多的權限風險，特別是這種權限也會影響你的本金或收益，你肯定會不願意。

過度許可的風險非常微妙。在許多情況下，專案的管理員可以進行相關的治理和風險應急。但對使用者來說，這是人性的考驗。如果團隊決定作惡怎麼辦？所以業界有一個權衡做法：加入Timelock來降低這類權限過多的風險，例如：

知名的 DeFi 專案Compound，其核心智慧合約模組 Comptroller 和 Governance 均在管理權限中加入了 Timelock 機制：
控制器(0x3d9819210a31b4961b30ef54be2aed79b9c9cd3b)
治理（0xc0da02939e1441f497fd74f78ce7decb17b66529）
管理員這兩個模組是
時間鎖(0x6d903f6003cca6255d85cca4d3b5e5146dc33925)

可以直接在鏈上查到Timelock（延遲變數）為48小時（172,800秒）：

也就是說，如果Compound的管理員需要更改目標智能合約的某些關鍵變量，則該交易在區塊鏈上發起後就會被記錄，但必須等待48小時才能最終確定並執行。這意味著，如果您願意，您可以審核管理員的每項操作，並且您將有至少 48 小時的時間採取行動。例如，如果您不確定，您可以在 48 小時內提取資金。

另一種降低管理者權限過多風險的方法是新增多重簽名，例如使用 Gnosis Safe 進行多重簽名管理，因此至少不會出現獨裁者。這裡要注意的是，多重簽名可以是「皇帝的新衣」。例如，一個人可能持有多把鑰匙。因此，需要明確目標項目的多重簽章策略。誰持有鑰匙，每個鑰匙持有者的身分必須是有信譽的。

這裡值得一提的是，任何安全策略都可能導致「皇帝的新衣」問題，看似策略做得很好，但實際上卻做得不好，造成安全假象。再舉個例子，Timelock 在紙上看起來不錯。事實上，曾經有一些專案部署的Timelock存在後門的情況。一般來說，使用者不會查看Timelock的原始程式碼，即使查看也不一定能理解，因此管理員在那裡放置了一個後門，並且在足夠長的時間內沒有人會真正注意到。

除了過度許可的風險之外，智能合約安全的其他要素也至關重要。不過，考慮到理解的前提，我這裡就不展開了。我的建議是：你至少應該學會閱讀安全審計報告，熟能生巧。

區塊鏈基礎安全

區塊鏈基礎安全是指區塊鏈本身的安全，例如共識帳本安全、虛擬機器安全等。如果區塊鏈本身的安全性令人擔憂，那麼鏈上運行的智慧合約專案將直接受到影響。選擇一個具有足夠安全機制和聲譽的區塊鏈非常重要，並且更好地具有更高的長壽機率。

前端安全

前端安全確實是魔鬼。離用戶太近，特別容易讓用戶上當。也許大家主要關注的是錢包和智能合約的安全，導致前端安全很容易被忽略。我想再次強調，前端安全是魔鬼！請允許我更深入地挖掘。

我對前端安全性最關心的是：我如何知道我從這個特定前端頁面與之互動的合約是我期望的智能合約？

這種不安全感主要源自於兩個因素：

內部工作 第三者

了解內部工作很簡單。例如，開發者偷偷將前端頁面中的目標智慧合約地址替換為有後門的合約地址，或植入授權釣魚腳本等。當您訪問這個被操縱的前端頁面時，一系列涉及您錢包中的加密貨幣的後續操作可能會在陷阱中完成。在你意識到之前，硬幣已經不見了。

第三方主要指兩類：

一是依賴鏈被滲透。例如，前端頁面使用的第三方依賴存在後門，該後門會隨著打包和發布而潛入目標前端頁面。以下是SushiSwap的套件依賴結構（僅供參考，並不一定表示截圖中的項目有此類問題）：

另一個例子是前端頁面匯入的第三方遠端 JavaScript 檔案。如果這個 JavaScript 檔案被駭客攻擊，目標前端頁面也可能受到影響，例如 OpenSea（僅用於說明，並不一定意味著螢幕截圖中的專案存在此類問題）：

我們之所以說這是可能但不確定的原因是，如果開發人員透過以下方式引用前端頁面上的第三方遠端 JavaScript 文件，則可以減輕風險：

搜尋 搜尋站內鏈上社群媒體新聞 熱門推薦： 擼毛打金 數據分析 必關大神 教我避坑 繁體中文 English 简体中文 日本語 Tiếng Việt العربية 한국어 Bahasa Indonesia हिन्दी اردو Русский 繁體中文

智能索引记录