iFace安全专家：钱包里的比特币其实早就不是你的了

自MoreToken钱包跑路以来，自2019年3月以来，已有多个钱包和交易所跑路，导致大量用户账户被盗。 仅MoreToken钱包用户损失总值就达12.2亿元，用户损失惨重。 为什么那么多钱包和交易所喜欢跑路？ 一般认为，钱包只是一种交易工具，用户账户的Token并没有存放在钱包中。 钱包跑路和用户的Token有什么关系？

我们先来分析一下技术原理、推广方式和运行套路。 下面以钱包为例进行分析。

iFace安全专家揭秘：钱包技术原理

市面上的钱包几乎统一使用用户手机注册钱包，通过密码或短信认证方式登录钱包； 钱包新生成用户的Token账户和地址。 大致流程是：助记词->私钥->公钥->地址； 钱包采用助记词算法助记词。 助记词顾名思义就是为了方便记忆。 一般情况下比特币账号需要激活吗，钱包会提醒用户妥善保管助记词。 记住助记词就是记住私钥（32字节），然后通过私钥生成公钥（64字节），最后通过公钥得到账户地址（20字节）。 钱包允许用户选择直接导入用户Token账户的私钥等信息。

大家口中的Token数字资产如何才能真正属于自己呢？ iFace安全专家透露，其实每个人的Token数字资产都不是存放在自己的钱包里，也不是存放在手机或电脑上的某个位置，而是存放在区块链中。 用私钥对每笔交易数据进行签名后，矿工对签名数据进行验证确认后，即认为每笔交易成功。 只有用户能够控制的资产才是真正拥有的资产，所以私钥是保证资产安全的核心，只有保护好私钥才能保护自己的资产。 一旦用户的私钥被他人获取，下一秒用户的资产就可能被他人转移。

iFace安全专家揭秘：失控钱包将改变劫持用户私钥的方式

任何跑路的钱包都会想不同的办法让用户使用他们的钱包。 他们会为用户重新生成一个新的钱包地址和私钥，或者让用户将自己之前代币账户的私钥导入到钱包中。 . 那么钱包为什么要这样做呢？ 从用户的角度来说，重新生成一个新的钱包地址和私钥是比较方便的，但也是这个简单方便的动作。 对于钱包，他有用户Token账户的私钥； ，一个简单的私钥导入操作，用户的Token账户私钥已经被钱包获取到； 在这两种模式下，用户的资产已经处于被盗的危险之中。 当然，有良心的钱包提供商不会劫持用户的私钥，但只要他们想劫持，随时都可以劫持。 对他们来说没有技术上的难点，就看他们愿不愿意做。

iFace安全专家揭秘：用户专注于赚取钱包所谓的收入，而钱包对用户的本金感兴趣。

能否分析一下目前跑分钱包使用的推广手法？

(1) 量化交易：存放在钱包中的代币可以用来搬砖、赚币。 目的是让用户可以将更多的比特币或其他有价值的代币存入他们的钱包账户。

(2) Token分红：钱包发行自己的Token。 用户只要将比特币或以太币或其他代币存入钱包，就可以获得钱包发行方发行的代币。 硬币分红。 目的还在于允许用户将更多比特币或其他有价值的代币存入他们的钱包账户。

(3)存入Token赚取利息：钱包会以高利息鼓励用户将比特币等有价值的Token存入钱包，“承诺”高利息，目的也是为了让用户存入更多的比特币或其他有价值的Token它的钱包帐户。

(4) 倍增推广：通过多级奖励刺激新用户，目的是快速让更多人将更有价值的Token存入钱包账户。

不难看出，这些钱包的所有模式都出于同一个目的：吸引用户将比特币、以太币等有价值的代币存入钱包中导入了私钥的地址或钱包新生成的账户地址。用户的钱包。 对于用户来说，地址好像还是原来的地址或者地址完全由自己控制，并没有什么区别。 看起来地址里的资产还是安全的，其实不然。

众所周知，当钱包的用户数量达到一定规模，并且这些用户的Token总数达到了钱包发行方的预期时，钱包就有可能跑路。

iFace安全专家提醒：钱包定位上路只是时间问题

一般来说，钱包发行者在跑路前，会做以下动作：

(1) 钱包服务暂停，用户无论如何都无法登录钱包。

(2) 对于在钱包中新注册了接收地址的用户，钱包发行方将使用其生成的用户私钥将用户的Token转走。

(3) 对于已将Token私钥导入钱包的账户，钱包发行方将使用其备份的用户私钥将用户的Token转出。

iFace安全专家提醒：私钥是用户的资产，保护好私钥势在必行

那么，用户如何降低Token被盗的风险呢？ iFace 安全专家建议如下：

(1)尽量使用各个Token发行方的官方钱包，比如比特币、以太坊、eos官方钱包。

（2）尽量使用有品牌信誉和开源的钱包。

(3) 避免使用云钱包。

(4) 妥善备份私钥，存储后尽量与网络隔离，如使用U盘存储，甚至纸质存储； 需要使用的时候打开，用完后继续隔离私钥。

iFace安全专家透露：用什么技术手段保护私钥是业界亟待解决的问题

上述一些方法只是当前条件下的权宜之计。 该方法的核心是保证其他人无法获得私钥。 然而比特币账号需要激活吗，人们无法完全避免这种情况。 例如，你总是在交易所交易 Token。 此时你的Token账户私钥由交易所托管，你的资产安全完全取决于交易所的信用。 和安全。 那么有没有一种技术可以在核心层面解决这个问题呢？ 答案是肯定的。

iFace是一个致力于通过人脸识别技术解决安全领域的身份识别和私钥保护的区块链项目。 iFace研发的“人脸即私钥”技术，可有效防止私钥被窃取和盗用； 人们在使用iFace进行Token转移等流通时，会要求用户在激活私钥时进行人脸识别。 只有人脸识别通过后，私钥才会被打开。 未通过人脸识别的私钥请求将被拒绝。 有效保障用户私钥的安全，从而保护用户的资产安全。 更多关于iFace如何使用技术保护私钥的信息，请参考iFace技术白皮书和iFace官网：