私鑰迷云：你在交易所/錢包/DeFi里的幣到底是在誰手里？_WALL

問個問題，在幣圈的你，你的幣在哪里？

在交易所里？在自己的錢包里？在中心化錢包里？在某樣理財錢包里？在DeFi里借貸？在挖礦？還是在哪呢。

昨天出的事情讓很多人瞬間開始學習“私鑰”、“多簽”等相關知識，因為他們不知道，為什么他們的幣提不了了，什么時候能提呢？

并且看到了這么一個截圖，看來很多人對他們放幣的冷錢包，還是知之甚少呀：

所以還是回到我們的主題上來，除了幣在自己掌握私鑰的錢包里的朋友，其他的朋友們，你們真的知道你們的幣在哪里嗎?

接下來我們好好聊聊這事兒，分不同情況聊聊。

安全團隊：Slope Wallet (Android, Version: 2.2.2)的sentry服務存在私鑰泄露:8月4日消息，慢霧發布對 Solana 攻擊事件的分析，據 Solana 基金會提供的數據，被盜用戶種約 60% 使用 Phantom、約 30% 使用 Slope，其余使用 Trust Wallet、Coin98 Wallet 等，IOS 和 Android 均未能幸免。

在分析 Slope Wallet (Android, Version: 2.2.2) 時，發現其使用了 sentry 的服務。Sentry 是一項廣泛使用的服務，在“o7e.slope[.]finance”上運行。Sentry 的服務從 Slope 錢包中收集助記詞和私鑰等敏感數據，并在創建錢包時將其發送到 https://o7e.slope[.]finance/api/4/envelope/，并發現 Version:>=2.2.0 包中的 sentry 服務會收集助記詞發給“o7e.slope[.]finance”，而 Version:2.1.3 則沒有找到收集助記詞或私鑰的明顯行為。Slope Wallet(Android, >= Version: 2.2.0) 于 06/24/2022 之后發布，所以 Slope 該日期之后的用戶受到影響。

對于另外 60% 的使用 Phantom Wallet 用戶，分析 Phantom（版本：22.07.11_65）錢包后發現，Phantom（Android，版本：22.07.11_65）也使用 sentry 服務收集用戶信息，但目前沒有發現任何明顯的收集助記詞或私鑰的行為。[2022/8/4 2:58:18]

一、幣在交易所里

Yuga Labs聯合創始人：已銷毀擁有無限鑄造無聊猿權限的私鑰:6月8日消息，Yuga Labs 的聯合創始人兼開發人員 EmperorTomatoKetchup 在其社交網站上表示，擁有無聊猿 NFT 無限鑄造權限的私鑰已經被銷毀。

此前報道，6 月 6 日，加密開發者 foobar 在其社交網站表示，無聊猿 BAYC 合約存在一個擁有無限增發權限的私鑰，如果該私鑰被黑客攻擊獲取，市場上或將出現無聊猿傾銷。[2022/6/8 4:10:57]

這應該是目前最為主流的情況了，我個人除了冷錢包之外，也有許多幣在交易所里，可能是做一些投資，做一些理財，做一些套利對沖之類的，總之，交易所里完全沒幣也不可能。

余半城：Defi和CeFi區別是一個機構托管交易，一個是自己控制私鑰做點對點的交易:2020年5月23日，由百團大戰、節點咨詢、金色財經主辦，萊比特、算力360聯合主辦的百團大戰礦業峰會·豐水期之戰在成都開幕。

在會上，比特幣老玩家余半城表示，Defi和CeFi區別是一個是支持機構托管的交易，一個是支持點對點的交易，這是兩個核心。包括去年和前年出了很多Defi的產品，它的核心是用戶掌握自己私鑰，是雙方信息充分情況下完成自主交易。CeFi是大部分用戶沒有自己掌管私鑰的能力，資金資產托管放在平臺上，在平臺的內部撮合下完成交易，這是CeFi和Defi的區別。[2020/5/23]

那么我們放在交易所里的幣，到底在哪里？

聲音 | Ripple：僅2015年8月之前的私鑰易受攻擊:據cointelegraph報道，最近由DFINITY基金會和加州大學聯合進行的研究表明，比特幣（BTC），以太坊（ETH）和Ripple（XRP）的一部分地址是易受攻擊的。對此，Ripple在1月16日發布的一份聲明中宣布，只有在2015年8月之前發布的Ripple（XRP）軟件庫可能提供了會使多個交易易受攻擊的私鑰。[2019/1/17]

一般來講，交易所的錢包分成熱錢包和冷錢包，熱錢包一般由“錢包組”管理，處理日常的提現，這里一般有個團隊負責，大部分金額也不大，動用不到冷錢包，每天做個統計就完事兒。

最核心的還是在于冷錢包，也就是交易所幫用戶保管加密資產的地方，類似于區塊鏈世界的“銀行地底下倉庫的保險柜”，那么誰掌握這個保險柜的密碼呢？

這個密碼其實就是能給交易簽名的私鑰，一般我們說的“多簽”就是多人持有“保險柜的密碼”，得一塊兒簽名同意了，才能打開，光靠一個人是打不開的。

所以你的幣可能并不在一個人手里，成熟的交易所，都是多簽。多簽有多種形式，可能是五個人持有私鑰，其中3個人簽名就可以提。大概是這樣，人可能更多，可能更少，邏輯是這么個邏輯。這也是為什么之前bitmexCTO被捕，他們依然能夠提現的原因。

所以放交易所里，你的幣在誰手里？最核心還是在于大老板，其次是一些有權力的高管。大部分交易所都會分散開持有私鑰的高管們，盡量在不同國家/地區，避免同時被不可抗力影響，導致交易所無法正常運營。

當然，除了避免外部風險之外，也得避免某個人想把交易所資產一股腦卷走的風險。

所以幣放交易所里的朋友，最核心的是幾個高管，你們得天天祈禱他們別出啥事兒。

二、在錢包里

錢包分成中心化錢包--就是“云端錢包”、“在線錢包”之類的，還有去中心化錢包--冷錢包、硬件錢包之類。

冷錢包自然不用多說，自己保管私鑰。那么云端錢包呢？就是你注冊個賬號密碼就可以用的那種錢包，私鑰又在誰手上呢？

當然其實也顯而易見了，就是錢包運營方手上。

一般優質的在線錢包能提供更加好的體驗，不用一個幣一個錢包，一個賬戶一網打盡：

而且轉賬需要的不是私鑰簽名，而是手機驗證碼、谷歌驗證碼、人臉識別等，也讓更多朋友用起來更舒服，不用擔心丟私鑰。

但是有好處自然有壞處，壞處就是這些幣事實上并不在你的“錢包”里，你看到的只是一個“憑證”而已，與交易所給你的無異。

你的幣，依然是躺在錢包自己家的冷錢包里。

和交易所一樣，如果你使用的是在線/云端錢包的話，那么你也得祈禱錢包運營方幾個管冷錢包私鑰的大佬們平平安安，順順利利吧。

三、在合約里

其實不管你參與了DeFi哪個環節，是借貸、穩定幣還是挖礦還是機槍池還是等等等等之類的項目，你的幣大概都在一個地方，叫“智能合約”。

你以為你的幣已經“去中心化”了，但是殊不知，其實合約背后，也是私鑰。

你的幣在合約里，理論上合約開源沒啥問題的話，轉入轉出都是OK的，但是智能合約這種東西，也是有私鑰的，能從合約里取幣的。

所謂“留后門”，就是這么個操作。

所以當你參與到去中心化世界里，把幣交給合約的時候，不妨先看看是哪些地址在控制著合約背后的私鑰。

總之，我們可以相信自己，我們可以相信代碼，其他的，還是需要慎重的。

最后還是那句話，投資一定不要把錢都放在一個籃子里，不管是幣圈也好，圈外也好，都是一樣。

要你本金的投資，一直也在不斷發生著。

祝大家好運。

Tags：EFISLOPEWALLENTRdefiai幣被盜Slope FinanceLAICA WALLETlitentry幣未來價值

Uniswap