你的ImToken钱包安全吗？双重验证真的能挡住黑客吗？

导读： 最近币圈又炸了锅，我一个朋友凌晨三点给我发语音，声音都在发抖——他的ImToken钱包被人盗走了12个ETH，说实话，那一刻我后背也凉飕飕的，因为我也用ImToken,里面躺着这几年攒下的家当，等等，他不是开了双重验证吗？怎么还会被盗？这个问题我琢磨了一整个周末，翻遍了各种技术帖和受害者复盘，才发现...

最近币圈又炸了锅，我一个朋友凌晨三点给我发语音，声音都在发抖——他的ImToken钱包被人盗走了12个ETH，说实话，那一刻我后背也凉飕飕的，因为我也用ImToken,里面躺着这几年攒下的家当。

等等，他不是开了双重验证吗？怎么还会被盗？

这个问题我琢磨了一整个周末，翻遍了各种技术帖和受害者复盘，才发现事情远没有想象中那么简单，今天我就把这事掰开揉碎了说清楚，省得你跟我一样,以为装个双重验证就万事大吉了。

你以为的双重验证，可能只是个心理安慰

很多人包括我在内，一开始都觉得：助记词保存好了，密码设复杂了，双重验证也开了,应该就稳了吧？

错,大错特错。

ImToken的双重验证，绝大多数人用的是谷歌验证器（Google Authenticator）或者手机短信验证，看起来确实多了一层保险，但问题在于——这两样东西都在你的手机上，你想想，如果你的手机本身就已经中毒了，或者被人远程控制了，那双重验证还有什么意义？就像你给家里装了两把锁，但钥匙都挂在同一个钥匙串上，小偷只要拿到这个钥匙串,两把锁就是个摆设。

我那个被盗的朋友复盘时发现，他之前不小心点开了一个号称可以领空投的链接，手机里被植入了木马，黑客不仅拿到了他的助记词（因为他在手机上截图保存过），连谷歌验证器的实时验证码都能截获，整个过程,他连个异常通知都没收到。

助记词才是命门，别让“方便”害了你

这就要说到最核心的问题了：双重验证保护的是交易签名过程，但保护不了助记词泄露。

ImToken的设计逻辑是这样的：私钥和助记词存储在手机本地，双重验证是在你进行转账等敏感操作时额外增加的一步确认，但如果你把助记词写在了备忘录里、截了图存在相册中、甚至通过微信或邮件发给过别人，那黑客一旦攻破你手机上的任何一个入口,你的钱包就直接裸奔了。

我认识一个老韭菜，他把助记词刻在了一块不锈钢板上锁在保险柜里，每次要用钱包都得亲自去开保险柜，虽然麻烦，但他说：“币圈没有后悔药，麻烦总比归零好。”

反观很多人，为了图省事，把助记词保存在了云笔记、网盘里，你以为加密了就安全了？别天真了，云服务商后台如果想查，或者你的账户被撞库,这些东西跟写在墙上没区别。

那真正的安全到底该怎么搞？

聊了这么多吓人的事，总得给点干货，我踩过的坑和从高手那学来的经验,总结起来就几条：

第一，物理隔离是王道。 如果你手里的币超过5位数人民币，强烈建议买个硬件钱包，ImToken可以配合Ledger、Trezor这些硬件钱包使用，操作的时候私钥全程不离开硬件设备，手机上的木马根本摸不到你的私钥，虽然花点钱，但比起被盗的损失,这点钱连个零头都算不上。

第二，双重验证要“分离”。 别把验证器装在同一个手机上，你可以用一部旧手机专门装谷歌验证器，平时关机放家里，只有转账时才开机，或者直接用YubiKey这样的硬件密钥，物理按键确认,黑客远程根本没法伪造。

第三，助记词要当传家宝供着。 绝对不要电子化存储，手写两份，一份放家里保险柜，一份放银行保险箱，不要全写在一起，可以用“分片存储”的方式，把24个单词拆成几部分分开藏，但要确保你自己能拼回去,别把自己也锁死了。

第四，养成“小号”习惯。 钱包也要分主次，日常交易用小号钱包，只放点零钱，大额资产放在冷钱包里不动，就算小号被掏了,损失也在可控范围内。

最危险的不是黑客，是你自己的侥幸心理

说实话，币圈这十几年，被盗的故事听得耳朵都起茧了，但大多数悲剧都有一个共同点——受害者都觉得自己不会那么倒霉。

你以为双重验证开了就安全了？以为截图保存在私密相册就万无一失了？以为不告诉别人密码就高枕无忧了？

真正的安全，不是靠一个功能、一个软件来实现的，而是靠一个完整的安全习惯闭环。

ImToken本身没有问题，它只是工具，工具再锋利，也得看握在谁手里，你可以装了双重验证就到处点链接、乱授权DApp、把助记词放在联网设备上，那别说是ImToken，就算给你用银行级的加密系统,该丢还是得丢。

今天看完这篇文章,我建议你做三件事：

1. 立刻检查一下你的助记词有没有以任何电子形式存在手机或电脑里,有的话赶紧转移成物理存储。
2. 考虑买一个硬件钱包,或者至少准备一部不装卡的旧手机专门做验证。
3. 把你手里值钱的币转到一个长期不动的冷钱包里,日常留点够用的就行。

别等到跟我朋友一样凌晨三点发抖的时候，才后悔没早点动手，币是你的，安全这件事,只有你自己能负责。