币安CEO赵长鹏手写笔记：如何保障区块链资产安全？

币安一直以来致力于打造更加安全的加密货币社区，以确保用户资金的安全。在本博文中，币安首席执行官赵长鹏（CZ）从多个方面详细探讨了加密货币安全性相关话题。

安全性是至关重要的。虽然这是一个显而易见的事实，但我还是很痛苦地看到大多数普通人都缺乏安全意识。而许多专家以为每个人都对安全问题有深入的理解，然后设计或推荐一些高级功能，这些功能不仅难用，一不小心还容易搞砸了，这也让我很痛苦。安全性是一个广泛的议题，虽然在很多相关领域中我不是专家，但我目睹了许多人遇到安全问题。近期，加密货币价格上涨，市场活动越发频繁，很多新入市者又回到加密货币领域中来。在这篇文章中，我将尽我所能，使用平实易懂的语言来解释一些与持有加密货币息息相关的安全概念。它们包括：

1. 一些有关安全性的基础概念

2. 我们要/不要自行持有加密货币，应该如何持有

3. 我们要/不要在交易平台上持有加密货币，应该如何持有

4. 其它话题

首先，没有任何事务是100%安全的。比方说，万一哪天真的小行星撞地球，那么无论你采用哪种储蓄方式，资金都不太可能安全吧。是的，你可以把资金存在在太空中，但这种储蓄能维持多久呢？而且如果地球都不在了，它的价值还在吗？也许到了那时候，你早已不在乎这件事了。所以，当我们说到安全性，我们其实在问这样一个问题：“这样足够安全吗？”

那么我们先来定义一下“足够安全”这个概念吧。对于不同人、不同目的而言，其定义也是不同的。如果你把100美元存进消费用钱包，你可能不需要超高安全性，放进手机钱包就可以了。但是对于数百万美元，或者是关乎身家性命的钱财，你就需要采取更强大的安全保障措施了。在下文内容中，我们将探讨较大金额资金的安全保障问题。

要想保障所持有的加密货币的安全，你只需要做以下3件事：

1. 防止他人窃取。

2. 防止自己丢失。

3. 找到一种资金转移方法，万一你不在了，这笔资金还可以转给你深爱的人。

听起来很简单，对吧？但要真正做到这3件事是需要一定的知识、努力和智慧的，而大多数人都要么不懂，要么忽略了它们。

下面我们展开来说。

（以下是来自CZ分享内容的笔记：）

一、我们要/不要自行持有加密货币，应该如何持有（上篇）

1. 防止他人获取你的私钥：计算机&手机&硬件钱包

2. 防止自己丢失密钥：备份：金属标签&U盘

3. 为深爱的人提供保障

二、使用交易平台（中篇）

仅使用声誉好的大型交易平台

三、保障你的账户安全（下篇）

1. 保障计算机的安全。

– 避免下载文件

– 软件要及时升级

2. 保障邮箱账户的安全。

3. 保障密码的安全性。

4. 开启2FA验证。

5. 安装U2F。

6. 停止使用短信验证。

7. 创建提现地址白名单。

8. API安全性

9. 完成L2层KYC验证。

10. 保障手机和其它设备的实体安全

11. 当心网络诱骗

我们要/不要自行持有加密货币，应该如何持有

“我的密钥，我的资金”。真的是这样吗？

很多创世加密货币都坚持说只有自己持有加密货币才是安全的，但从未考虑这样做对普通人来说是多大的技术难题。这真的是最好的建议吗？我们现在来讨论一下这种做法。

让我先问你一个问题：比特币私钥长什么样？如果你不知道，那请你继续读下去。

比特币私钥长这样KxBacM22hLi3o8W8nQFk6gpWZ6c3C2N9VAr1e3buYGpBVNZaft2p

它只是一串数字和字母的组合。拥有它就能通过该地址转移比特币。

还有一个概念就是“助记词”，它由12或24个英文单词按特定顺序组合而成。它们可以用来生成一系列私钥。很多钱包都使用助记词。在后续内容中，我们会使用“私钥”这一词汇，但文章提及的多数流程和相关推荐对“助记词”也同样适用。

回到正题。要想保障自己持有的加密货币的安全性，你需要：

1. 防止他人获取你的私钥；防止黑客攻击，防止电脑遭受病毒和网络攻击等等。

2. 防止自己丢失私钥；对数据进行备份以防止丢失或设备损坏，并做好备份。

3. 找到一种资金转移方法，如果你不幸离世，还可以把私钥转移给你深爱的人。这一设想并不那么令人愉悦，但作为对所爱的人负责任的成年人，我们必须管理这一风险。

下面让我们来仔细一一分析。

1. 防止他人获取你的私钥

这是显而易见的风险。我们都听说过黑客、病毒、木马等等。我们都不想让这些东西靠近我们存放代币的地方。

要充分做到这一点，我们的设备就不能连接到互联网，也不能从网上下载任何文件。这样的话，我们又能怎样以安全的方式发送和接收加密货币呢？

让我们来说说可以使用的一些不同设备。

计算机是其中一个选择，其通常功能也比较丰富。如果使用计算机来储存代币，那计算机就不能接入互联网，或者其它任何网络。一旦接入了网络，黑客就有可能利用操作系统或者其它应用软件的漏洞找到攻击机会。要知道，所有的软件都是有漏洞的。

那么，如果计算机没有接入网络，我们又如何安装软件呢？我们可以用CD ROM或者U盘，并安装至少3种杀毒软件来确保它们是干净的。下载软件（操作系统或钱包）到U盘上，等待72小时，不断检查更新通知，确保所下载的软件或者下载软件的网站没有安全性问题。官方网站被黑、下载包被木马替换的情况非常多见。我们下载软件一定要到官方网站。另外，用开源软件也可以减少蠕虫出现几率。虽然我们自己不是程序员，但开源软件已经过其他程序员检查，蠕虫出现的概率较低。所以，操作系统我们应该使用稳定版本的Linux（而不是Windows或者Mac），并且只用开源的钱包软件。

安装好所有软件和操作系统以后，我们就可以用一个干净的U盘进行交易的脱机签名。对于不同钱包而言，操作方式也不尽相同，这就不在本篇文章的探讨范围了。除了比特币，其它很多代币都没有可以进行脱机签名的钱包。

同时，我们需要确保所用设备的物理安全性。因为如果有人偷了这一设备，他就可以直接进入这一设备。因此，我们要确保对硬盘进行强加密，这样即使有人拿到了硬盘，也没有办法读取它。不同操作系统有不同的加密工具。硬盘加密教程也不在本篇文章的内容范围，但在网上可以轻易找到。

如果以上几件事都做好了，你可能不必再看下面的内容了。但如果你不喜欢这些，还有其它几种选项。

接下来一个选项是手机。现在，因为有了沙盒设计的移动设备操作系统，非根/越狱手机要比计算机安全得多。Android系统版本太多了，没办法一一追踪，所以我通常推荐使用iPhone。我们应该有这样的一台手机，它仅用于钱包的安装，不用于其它任何用途。这台手机应该一直处于飞行模式，只有在进行钱包交易时才打开。我也推荐为这台手机配备单独的SIM卡，并且只用4G接入互联网。千万不要连接任何WiFi。仅在进行交易签名和软件升级时才连接到网络。如果账户里资金数额不是太大的话，这样做一般是没问题的。

一些手机钱包有脱机签名功能（通过扫描二维码进行），这样从钱包App下载完成到生成私钥的过程中我们的手机完全不需要联网。这样我们就可以确保私钥从未在一台连过网的手机上存在过。这样做可以避免钱包App被蠕虫病毒入侵，或是向开发者回送数据。这些情况以前很多钱包都发生过，即便官方版本也不例外。但这样做的缺点是，我们也无法进行钱包App或者操作系统的升级。要升级软件就要在另一台手机上安装App的最新版本，将其设为飞行模式，生成一个新地址，备份（后续会讲到），然后将资金发送到新手机上。这样做很麻烦。另外，这些钱包所支持的代币/区块链数量也有限。

同时，我们还需要确保手机的物理安全性。虽然最新版本的iPhone硬盘是完全加密的，但据称也有可以通过破解pin码对iPhone解锁的设备。

硬件钱包

我们也可以使用硬件钱包。这些设备就是为了永久保存私钥而设计的，这样就不需要进行电脑备份。交易签名也直接在硬件上进行。但不是所有东西都是100%完美的。硬件钱包也可能存在硬件、软件漏洞等。市面上有很多不同的硬件钱包。我们通常建议选择有较长历史的、品牌知名度更高的那些，因为它们经过了更多检验。两个主流的硬件钱包品牌之中，已有不同报告称其中一个一旦被黑客拿到手，就能轻易获取私钥。所以，我们一定要确保它们的物理安全性。另外，几乎所有硬件钱包都需要与计算机（或者手机）软件互动才能完成操作。所以，我们还得确保计算机是没有病毒、不受黑客攻击的。有些病毒可以在交易的最后一刻把目的地址篡改成黑客的地址。所以，我们要在设备上仔细验证交易的目的地址是否正确。即便是这样，确保计算机的安全也是必须的。有了硬件钱包，的确可以避免一些最简单的黑客窃取私钥的操作，但我还是强烈建议准备一台干净的计算机作为专用计算机，并且把防火墙功能全部打开。但总体来说，想要自行持有代币的话，硬件钱包是一个不错的选择。但它比较麻烦的是备份的保存，我们在下一节将会讲到。

钱包和设备还有很多类型。我无法在此一一介绍，但以上所说都是最标准的类型了。现在我们已经探讨了如何降低（而不是消除）被他人窃取私钥的概率，那么对于如何自行持有代币这个问题，我们就已经解答1/3了。

2. 防止自己丢失密钥

我们可能会遇到丢失储存代币的设备，或者设备受损的情况。因此，我们需要：

备份。

There are many different methods here too. Each has pros and cons.

备份也有很多种方法，并且每一种都有其优缺点。但根本上来说，我们希望做到的是在不同地理位置的多重备份，并且不被他人看见（加密）。

我们可以用一张纸写下来。有些使用助记词的钱包会推荐这一方式，因为写下12或24个英文单词还算比较容易。但对于私钥来说，我们很容易弄错大小写，或者字迹太潦草（比如分不清O和0），并且后续我们很难弄清楚到底是哪里出了问题。然而，用纸记还有很多更严重的问题。这些纸可能被：

● 丢失 – 和其它纸一起弄丢了

● 毁坏 – 被火烧了或是被洪水冲走了

● 容易被他人读取 – 没有加密

有些人把密钥纸条存进银行保险库，但因为以上原因，我通常不建议这么做。

不要以为给纸条拍照（或者截图）或者把它上传到云就已经安全备份了。如果黑客攻击邮箱或者计算机，它们会轻而易举就找到你的密钥。此外，云服务商也可能对其进行多重备份，存放在不同地方，他们的员工也有可能看到这些信息。

有些专门设计的金属标签可以用于助记词备份的保存。这些金属标签基本上不会被毁坏，因此大体上可以避免火烧或洪水的风险。但是，它并不能解决实体丢失或者容易被读取的问题。很多人会把金属标签存在银行保险库，并且通常和黄金和其它金属放在一块。我猜喜欢买金属产品的人很容易会这样做。如果你采用这种方法，就要了解它的局限性和风险。

我推荐的做法是使用几个U盘。但是这不需要什么技术手段（典型的“为专家而设计”谬论）。市面上有抗震/防水/防火/防磁的U盘。我们可以把加密版本的私钥备份存进几个这样的U盘，并把它们存放在不同地点（朋友家或亲戚家）。这样就解决了之前提到了所有问题了：多个地点、不容易损坏或丢失、不容易被他人读取。这样做的关键是强加密。相应的工具市面上很多，并且还会不断变得更先进。VeraCrypt就是其中一款入门级工具，加密程度还不错。它的前身TrueCrypt曾经流行过一段时间，但后来在同行评议中被发现有一些安全漏洞，因此停止开发了。所以，我们建议用户自己去了解不同产品，并为自己选出一款最好的、最新的加密工具。此外，不要给任何人你的备份，即便是加密的也不例外。另外，我们还建议每一段时间就进行一次私钥轮换（即生成新的私钥，并把资金从旧地址发送到新地址）。

3. 为深爱的人提供保障

人类不能永生。因此我们需要继承/遗产计划。事实上，加密货币可以把财富传承变得更简单，并且可以减少第三方介入。同样，要做到这一点，有以下几种不同的方式：

如果你使用的是低安全性的纸条或者金属标签，那么直接交给继承人就可以了。但这当然有一些潜在的缺点。他们如果太年轻或是技术水平不足，就可能会对备份保存不当。如果安全保障被他们搞砸了，黑客就可以轻而易举地通过他们窃取资金。此外，继承人还可以在任何时候带走你的资金。至于你希不希望他们这么做，就取决于你们之间的信任关系了。

我强烈建议避免与他人分享私钥，无论你们之间关系多亲密。原因很简单，万一资金被取走/被盗，根本无法确定操作者是谁，或是谁保管不当，这会引起混乱。

我们可以把纸条或者金属标签放进银行保险库，或者交给律师。但是，如上所说，如果哪位经手人得知了密钥，他们可以不留痕迹地取走资金。这跟律师需要到银行操作把资金转给继承人完全不同。

但如果我们使用的是上面提到的U盘方法，就可以更安全地转移资金了。但这会需要更多设置步骤。

有一种在线服务叫“死人键”（Deadman’s switch）。他们会定期（比如一个月）向用户发送短信/邮件，用户需要点击链接或者登陆进行回复。如果超过一定时期未回复，该账户将被视为处于“死人”状态，系统会自动按照该用户此前设定的接收人和内容一一发送邮件。我并不推荐这种服务，但大家如果感兴趣可以自行上Google了解并试用。事实上，Google自己就有这种服务。在它的众多设置中有一个选项，即用户超过3个月未登录账户的话，可以让其他人进入该账户。我个人没有试用过这一选项，所以无法评论。还请自行检验。如果你在想：“噢！太好了，我只要把密钥放进邮件里就可以传承给我的孩子了。”那请你从头再读一遍这篇文章。

可能你会想，我可以把用来加密U盘的密码放进邮件里，这样我的伴侣或孩子就能进行解锁。这很接近正确做法了，但还不够。正如我们不能把密码跟互联网服务器上的备份放在一起，因为这会大大削弱备份/资金的安全性。

如果你在想，那我可以打乱/加密包含了U盘密码的邮件，再另外设一个密码，告知我爱的人。这样想就对了。事实上，你不需要第二个密码。这个时候，你可以使用一种久经考验的加密工具，叫PGP (或者GPG)。PGP事实上是早期采用非对称加密（比特币也是用这一方式）的工具之一。在这里，我也不会介绍PGP使用教程，网上一搜便有。总结来说就是，让你的伴侣或孩子生成一个属于他们的PGP私钥，然后你使用他们的公钥来加密“死人”信息。这样一来，除了他们，就没有人可以读取信息内容了。这样的方式是相对安全的，但这需要他们能确保PGP私钥的安全性，并且不丢失它们。当然，他们还需要知道如何使用PGP邮件，这需要一定技术含量，而且过程还比较繁杂。

欢迎阅览！如感兴趣阅读，请搜寻阅读连载篇《币安CEO赵长鹏手把手教你如何保障资产安全》、《来自币安CEO赵长鹏的11条保障区块链资产的建议》

币安CEO赵长鹏（CZ）

   （本内容属于网络转载，文中涉及图片等内容如有侵权，请联系编辑删除。市场有风险，选择需谨慎！此文仅供参考，不作买卖依据。）