你的加密货币真的在你手里？ImToken自托管能防黑客吗？

导读： 自托管不是万能药，但比放交易所强一百倍上周有个朋友急吼吼给我打电话,说他在某交易所的账户突然登不上了，里面还有两个以太坊，我问他私钥在哪，他说“啥私钥？不是账号密码就行吗？”——得，又是一个把加密资产交给别人保管的主儿，很多人以为买了比特币、以太坊，币就在自己手里，只要你的资产放在交易所，那只是交易...

自托管不是万能药，但比放交易所强一百倍

上周有个朋友急吼吼给我打电话,说他在某交易所的账户突然登不上了，里面还有两个以太坊，我问他私钥在哪，他说“啥私钥？不是账号密码就行吗？”——得，又是一个把加密资产交给别人保管的主儿。

很多人以为买了比特币、以太坊，币就在自己手里，只要你的资产放在交易所，那只是交易所数据库里的一串数字，法律上你甚至不算真正拥有它，交易所破产、被黑客攻击、或者干脆跑路，你的币说没就没，2022年FTX事件血淋淋的例子摆在那，几十万人一夜之间变成债权人，而不是资产所有者。

ImToken这类自托管钱包要解决的核心问题就一个：让你的私钥只在你手里，私钥就像你银行保险柜的唯一一把钥匙，别人不可能靠猜来打开它，但问题是，很多人根本不懂怎么保管这把钥匙。

为什么你的助记词比密码重要一万倍

ImToken不存你的任何信息,它只是个工具，创建钱包时生成的那12个英文单词（助记词），就是你资产的唯一凭证，丢了这12个词，神仙也救不了你，很多人觉得这太麻烦，宁可把币放交易所，用短信验证码登录省事。

省事就是最大的风险源,交易所的中心化服务器一旦被攻破，黑客可以批量转移资产，而自托管钱包，黑客需要一个个破解私钥，成本高得离谱，即使ImToken的某个版本出现漏洞，只要你不乱点来路不明的钓鱼网站，资产依然是安全的。

这里有个关键点：你的安全意识，决定了自托管到底安不安全，把助记词写在纸上拍照存云盘？那你不如直接转给黑客，用小本子手抄两份，分开放两个安全的地方，这才是正解，那些丢币的人，99%不是钱包被黑，而是自己的助记词泄露了。

备份不是把私钥存手机备忘录

很多人问：“我备份了，可万一手机丢了怎么办？”这就需要你理解钱包恢复的逻辑，ImToken通过助记词生成私钥，助记词就是一切，只要你有助记词，在任何设备上导入，资产就回来了，手机丢了不可怕，可怕的是你没单独备份助记词。

我建议做三份物理备份：一本放家里保险箱，一本放银行保险柜，第三本交给绝对信任的家人，别用数字化存储，什么微信收藏、有道笔记、百度网盘，统统是作死，黑客和网盘管理员随时可能看到你的助记词。

还有个细节：备份时一定要手写，不要打印，打印机的墨盒、扫描仪都可能留下数字记录，手写虽然土，但最安全。

DApp交互是最大的安全隐患

自托管钱包最容易被攻击的环节,其实是你的DApp操作，很多用户为了挖矿、打新、玩NFT，去连接一些不明来源的DApp，这类DApp会在你批准交易时拿走授权，然后在你不知情的情况下转走你的代币。

我见过最离谱的案例：有人为了领一个免费空投，连接了骗子仿冒的Uniswap网站，他只是点了“批准”按钮，钱包里所有的USDC就瞬间被转走，自托管钱包本身没问题，是你的操作出了问题。

正确做法是：只要涉及授权交易，先看看合同地址对不对，再去Etherscan查下合约有没有问题，如果不是长期使用某个DApp，用完后赶紧取消授权，ImToken有内置的风险检测功能，遇到可疑的合约会弹出警告，很多用户嫌烦直接点了“我了解风险”——这相当于在赌博。

到底该不该信ImToken？

ImToken是开源的,代码在GitHub上公开，任何人都可以审计，这意味着它不太可能做后门或者偷币——一旦被发现，整个项目就完了，相比之下，那些不透明的交易所或者钱包才更值得警惕。

但开源不代表它能保证你的绝对安全,如果某天ImToken的服务器被DNS劫持，或者下载的版本被替换成木马版，还是会有风险，所以一定要从官网下载，不要用第三方应用商店的版本。

两个建议

第一,小额资产可以放交易所，日常使用方便，但如果你持有超过一个月的长期仓位，务必放在自托管钱包里，第二，多搞几个钱包，一个用来日常DApp交互，只放少量USDC和Gas费；另一个做长期存储，地址保密，不和任何DApp做交互。

最后问一句：你的助记词现在存在哪里？如果是手机备忘录里，趁早转移出来。

自托管的价值不在于技术多牛逼,而在于你自己掌控那12个单词，只有当你真正理解并敬畏这把钥匙的力量，加密货币才真的属于你。