在加密货币的世界

私钥就是你的一切

加密货币是安全的，但你的币不一定是安全的。

2014年2月: 比特币最大的交易所MtGox倒闭;

2014年3月: 美国Poloniex被黑客攻击，损失12.3%BTC;

2015年1月: 欧洲Bitstamp被黑客攻击，损失190,000 个BTC;

2016年5月: 香港Gatecoin损失250个BTC 和185,000 个ETH ;

2017年9月: 比特币交易所BTC-e倒闭;

2017年11月: 以太坊Parity钱包再出现重大bug，导致上亿美元资金被冻结……

任何一个在币圈的资深人士，如果没有丢过币，那只能说明他的入行时间太短。加密货币的世界最大的风险，就在于安全。

关于安全的问题也会产生很多误解，例如有人开口就说比特币不安全，其实不是比特币不安全，而是管理你钱包的平台不安全。

数字时代的到来

互联网的发展，已经让数字世界积累了上万亿的数字资产，数字世界具有无限可扩性，数字资产市场也还有继续扩充的趋势，处在互联网中心的我们，已经很难摆脱数字化。

1.1数字资产

而究竟什么是数字资产?

数字资产是指企业拥有或控制的，以电子数据形式存在的，在日常活动中持有以备出售或处在生产过程中的非货币性资产。数字资产具有以下几种属性:

（1）数字资产是以比特结构存在的虚拟资产，不是像黄金那样具有原子结构的实物资产，数字资产大部分情况下都是以“Coin” (数字代币)的形式存在的;

（2） 数字资产是一段计算机程序，可以对它进行编程，资产之间的交换是代码与代码的交换，可以在区块链上，通过编制智能合约程序，完全去中介化的自主、自治地进行点对点交易，不需要人工干预。

(3) 数字资产是登记在区块链账本或分布式账本上的资产，确权还在讨论中，那些登记在工商局的股权、登记在房产局的房产一定不是数字资产。

(4) 随着数字技术应用的不断扩展，特别是区块链技术的应用升级，传统资产数字化程度不断提高，数字资产的内涵和外延正在迅速膨胀，金融、知识文化等领域可率先实现高度资产数字化。

(5) 数字货币等数字资产跨越了资产证券化的阶段，直接达到了资产货币化的阶段。

1.2 数字货币

比特币、以太币等数字货币是最为人们熟悉的一类数字资产。

数字货币的发行者可以是个人、组织、公司或者仅仅是一套软件系统。目前，中央银行不承认也不发行数字货币，数字货币也不一定要有基准货币。数字货币主要分为中心化发行的货币和去中心化发行的货币:

(1) 中心化发行的数字货币，其发行方是某个人、机构或者公司，发行量和发行方式都是由该个人、机构或者公司进行控制，并且可以根据需求随时进行更改。中心化发行的数字货币代表有Q币、E-gold,以及Ripple系统中的XRP。

(2) 去中心化发行的数字货币，往往通过密码技术和校验技术来创建，也被称为加密货币。由最初的发行者对发行量、发行方式、发行速度等要素进行定义后，由P2P在线系统进行运作，自发行后，发行量和发行方式等重要参数就不能够再进行更改。

去中心化发行的数字货币代表有比特币。建立在区块链技术上的比特币，其流动方式和数字资产是相同的，它们会直接在交易双方之间进行流动，交易结算速度快，交易的签署都是以加密的方式，有一个清晰的账本记录或者控制链来保持交易的透明性。

数字资产本身的安全性?

在你拥有数字资产之前首先要明白一点，就是你购买的数字资产本身是否安全。以2015年Vpal币为例，它本身就是一个中心化的货币，背后操作的是一个中心化平台，打着去中心化加密货币的口号来传销获利。它不敢开放代码，因为它本身就是一个传统的积分系统。这样的传销币有很多，对于这样的数字资产你也不能选择，因为它从生下来的第一天就准备归零。

那什么是安全的货币，还是以比特币为例，以钱包加密这个流程来看它的安全性。

钱包加密

比特币客户端中的核心是私钥，拥有私钥就拥有私钥对应比特币的使用权限，所以，加密钱包的核心对象就显而易见一一私钥。在解剖加密过程前，我们先捋一捋其中一些很容易混淆的名词:

密码: 从外部输入的，用来加密和解密钱包的字符串。

主密钥:一个32字节的随机数，直接用于钱包中私钥的加密，加密完后立即删除。

主密钥密文: 根据外部输入【密码】对【主密钥】进行AES-256-CBC加密的结果，该加密为对称加密。

主密钥密文生成参数: 主要保存了由【主密钥】 得到【主密钥密文】过程中参与运算的一些参数。由该参数配合【密码】 可以反推得到【主密钥】。

私钥: 椭圆曲线算法私有秘钥，即钱包中的核心，拥有私钥就拥有私钥对应的比特币使用权，而私钥对应的公钥只是关联比特币，没有比特币的使用权限。

私钥密文:【主密钥】对【私钥】进行AES-256-CBC加密解密的结果，该加密为对称加密。

首先，程序生成32个字节随机数作为【主密钥】，然后根据外部输入的【密码】 结合生成的【主密钥密文生成参数】一起对【主密钥】 进行AES-256-CBC加密，加密结果为【主密钥密文】。

稍后，我们将【主密钥】对钱包内的【私钥】] 进行AES-256-CBC加密得到【私钥密文】，待加密完成后，删除【私钥】，保留【私钥密文】。同时删除主密钥，保留【主密钥密文】和【主密钥密文生成参数】。就这样，钱包的加密就完成了。

然后我们来总结一下加密过程的输入输出:

输入:[密码]

中间生成:[主密钥]、[主密钥密文生成参数]、[主密钥密文]、[私钥密文]

最终保留: [主密钥密文生成参数]、[主密钥密文]、[私钥密文] ;

内部输入: [私钥]

比特币使用椭圆曲线算法生成的公钥和私钥，选择的是secp256k1曲线。SHA-256是十分强大的，它不像从MD5到SHA1那样增强步骤。它可以持续数十年，除非存在着大量突破性的攻击。

正是因为一套非常完备的加密体系，从数学层面来讲比特币这种数字货币值得信任，而这也是值得你投资的首要原因。

如何保护数字资产

上面所说的加密流程是货币本身自带的安全体系，但这并非表示你手中的数字资产是安全的。我们从交易平台、钱包管理、理财平台以及技术理念上来谈谈你应该如何保护自己的数字资产。

2.1交易平台

(1) 中心化的交易平台

2017年，是加密货币动荡的一年，Bitstamp、Bitfinex、Youbit、Bithtumb等平台纷纷遭受攻击，黑客们因系统漏洞大获收益。而所有这些遭受损失的交易平台，大都是中心化的。

当交易平台是中心化的时候，中心有两种形式: 资产控制和系统管理。如果黑客想要进入中心化的交易平台，他们只需要通过一个中心化的入口通道，通常是第三方托管服务器。一旦进入，黑客就可以获得中心化资金来源一一交易平台的热钱包储备和私钥。

曾经最大的比特币交易所门头沟(MT.Gox) 宣称遭到黑客入侵，导致约75 万个比特币丢失而破产，它宣布倒闭，而你根本没有办法。有人大胆猜测，这是交易所本身监守自盗，把币卖给了其他交易平台。但无论什么原因，你的币没有办法找回来。你也不能埋怨比特币，这是因为你选择了这个平台，选择了相信这个平台后面的人，是他弄丢了你的比特币。

(2) 去中心化的交易平台

有人说，最有效的解决方式是用去中心化交易所来实现交易的去中心化，让交易平台从数字资产管理的框架中脱离出来。

去中心化的交易平台不受单一实体的控制，大多数去中心化的交易平台都建立在以太坊区块链上，并且由节点网络而不是中心化服务器来支持。这意味着攻击者不得不破坏一半支持交换的节点才能控制它，这是相当困难的。

去中心化交易平台基于区块链技术之上，相较而言拥有更强的安全优势，但去中心化的交易所在撮合交易这一块没办法与中心化交易所相提并论，效率和安全，总是矛盾的。

2.2 钱包

你在平台买到的数字货币只是平台给你“显示的数据”，并不是真正意义上的数字货币，币还是在平台的钱包里面，并没有因为你们的买卖而变动。

(1) 什么是钱包

在数字资产世界里，钱包并不是用来装钱的，而是装密钥(私钥和公钥)的管理工具，交易信息也不是存储在钱包中，而是存储在区块链中。举个简单例子:

钱包= 你的房子，房子里有你的资产和物品。

公钥= 房子的公开地址(比如深圳市南山区粤海街道XOX号)，通过这个地址其他人可以找到你的位置，也能够给你寄送快递(转账)，但无法进入你的房子(没钥匙)。

私钥= 房子开门对应的钥匙，用来证明你就是房子的主人，并拥有资产物品的使用权，这也是需要保管好自己私钥的原因，因为它相当于我们需要保管好房子的开门钥匙。

有了钱包中的密钥，你就拥有相应地址上的数字货币的支配权。

如果你弄丢了你的数字货币私钥，或者给别人知道了，你该地址下的数字货币就与你无关了，要么你永远动用不了地址上的数字货币，要么你的数字货币就被知道你私钥的人转走。

(2) 冷热钱包

钱包有冷热之分，通俗来说，冷钱包是不联网的钱包，热钱包是保持联网上线的钱包。

A.热钱包

热即联网，也就是私钥存储在能被网络访问的位置，比如在“热”电脑上存储私钥的Bitcoin-core、MultiBit,在“热”手机上存储私钥的Bitcoin-Wallet,在网站上存储加密后私钥的Blockchain.info等在线钱包。

热钱包的安全要依赖于其运行的环境，电脑钱包依赖于电脑操作系统(Windows、Linux、MacOS等) 的安全，手机钱包依赖于移动操作系统(IOS、Android等)的安全，在线钱包除依赖于操作系统的安全外，还要依赖于浏览器的安全。

热钱包的安全，其实就是其运行环境的安全。要保护资产，就是要在运行过程中防止木马、病毒、黑客入侵和钓鱼邮件等。用户可以根据需要，将用于日常支付的小额资产可以存储在热钱包地址上。

B.冷钱包

相比较而言，保护密钥更安全的办法是一一冷钱包，冷钱包比热钱包安全些。

冷钱包是指将钱包离线保存的一种方法，也就是将秘钥离线保存，也称为冷存储。

它是最有效的安全技术之一，通俗来说，也就是在一台永远都不联网的电脑上生成数字货币的公钥和私钥，然后让这台

电脑以及存放有私钥的设备(手机、U盘等) 离线妥善保存起来，由这台电脑生成的私钥永远不在其他电脑或者网络上出现。

对于一些大额的、平时不多用的数字资产，为安全起见，可放于冷钱包地址之上。除冷储蓄外，硬件钱包也是存储和管理个人资金的安全选择，因为它们不会受危害钱包的恶意软件的影响。使用符合去中心化交易平台的硬件钱包，这比手动输入私钥更可取，因为手动输入容易受到钓鱼攻击和键盘记录的攻击。

(3) 如何保护你的钱包

在对钱包有一定了解后，我们除了根据自己需要挑选适合自己的钱包之外，在日常生活之中，同样也还有一些小技巧，它们可以更好地保护钱包，简单举几个例子:

A.安装各类客户端后，钱包文件保存在系统安全目录之下，并为文件加密;

B.经常备份你的钱包，对于计算机使用者而言，重要文件定期备份应形成习惯;

C.以比特币为例，备份与恢复钱包之前要退出bitcoin客户端，客户端在运行时可能在读写配置文件，备份可能不完整，恢复也可能损坏，因此须先退出客户端;

D.不要使用自动同步程序，自动同步往往按时间判断文件的保留与否，容易出误差。

2.3 多重签名

(1) 多重签名的安全性

我们已经在前面章节详解过多重签名，多重签名顾名思义，就是多个用户对同一个消息进行数字签名。以比特币为代表的数字资产网络上的多重签名，一般指一次交易转账需要有第三方签名人认证方为有效。

专家表示，多重签名方案是防止个人手机或者其他设备遭受恶意软件攻击的最好保护，这些恶意软件可能会在用户不知情的情况下收集用重要信息，例如钱包私钥。

当一个公司或个人持有大量比特币时，他们应该考虑采用多重签名的比特币地址。多重签名的比特币地址需要多个签名才能支付，从而保证资金的安全。

(2) 如何进行多重签名

多重签名是一种技术，而除去平台或系统自身的技术装备之外，在我们实际之中，同样也可以根据一些通俗的、人为的

多重签名来保护资产安全。

比特币亿万富翁Winklevoss兄弟，他们就把存储着价值13亿美元比特币的密钥用信封分成几个部分，每部分都存在美国各个不同的银行保险库里，以此来妥善保管自己的资产。

多重签名的密钥应存储在多个不同的地方，并由不同的人掌控。

打个比方，在企业环境中，密钥应该分别生成并由若干公司管理人员持有，以确保没有任何一个人可以独自占有资金。多重签名的地址也可以提供冗余，例如一个人持有多个密钥，并将它们分别存储在不同的地方，也可以将一个密钥分成几部分分别持有。

而将冷存储和多重签名相结合，又可能要比单独采用它们当中一方都相对安全些。

2.4 平衡分散风险

很多以太坊和比特币用户经常会将所有的比特币放在一个钱包里。但是对于投资人而言，分散投资很重要，回报与风险成正比，永远不要把鸡蛋放在一个篮子里，以免一损俱损，用户也应该将风险分散到不同类型的钱包中。

比较审慎的做法，是只留一小部分(或许低于5%) 的数字资产在一个在线的手机钱包，其余的部分应该采用不同存储机制分散开来，诸如电脑钱包和离线(冷存储) 钱包。

同样，我们可以设立多个账户，也就是盛放鸡蛋的多个篮子，来平衡分散风险:

(1) 日常交易账户: 存储小额资产，可频繁交易。

(2) 中等额度账户: 存储中额资产。

(3) 离线帐户: 用于存储大量长期持有的资产

2.5 最后的“保险受益人”

天有不测，说来也许忌讳，然就像我们购买人寿保险时填写受益人一样，在密钥持有者意外丧失工作能力或死亡的情况下，他们的数字资产怎么办?

可用性是一个非常重要却又常常被忽视的安全性考虑，如果密钥持有者或者说资产所有者遭遇不测下，他们的资产怎么用? 可用吗? 用户常在持有资产时被千叮咛万嘱咐、被告知应该使用复杂难破解的密码，并且保证他们的密钥安全且不为他人所知。而这种做法最直接的后果，就是在用户遭遇意外不测、自己无法解锁时，用户的家人几乎无法将该财产恢复。而事实上，很有可能数字资产持有者的家人完全不知道这笔数字资产的存在。

如果你有很多比特币、以太坊等数字你应该考虑与一个值得信赖的亲属或朋友分享解密的细节。制定一个相对科学的“数字资产恢复计划”，可以通过设置纸钱包或脑钱包进行资产恢复，如此，在需要动用资产，本人又无法解密之时，资产才能更好地使用。

结语 握好你的私钥

随着移动时代的到来，数字资产将成为企业的核心财富，而随着区块链技术热度的持续发酵，依托于区块链技术基础之上的数字资产的安全，也将成为决定成败的核心竞争力。

比特币、以太币等Token不断升值，区块链财富俨然成了众人眼中的“肥肉”，许多人蜂拥而上，加密货币投机泡沫的堆积，让区块链有种隐隐走向失控的局面。黑客潜伏，危机暗藏。

而在这样投机泡沫积聚、风声四起的时候，原则恐怕只有一个，将私钥握在自己手里保证安全。但如果你想投机，把币放在交易所，放在理财钱包里，那自然就谈不上安全性了。