Don't get rekt

大多数丢失加密货币的人，并不是栽在行情暴跌上，而是栽在一个只需30秒的失误上：在假网站上输入了助记词，把积蓄留在了倒闭的交易所，或者听信了私信里冒出来的“客服人员”。这些失误无一不可预防，而预防它们几乎不花成本。本页正是为此而写。

坦率谈谈威胁模型

夺走人们的币的有三类原因，按下列顺序排列：

1. 诈骗。钓鱼网站、假客服、投资与情感相结合的骗局、承诺保证收益的骗局。FBI 的 Internet Crime Complaint Center 记录到，2024年美国报告的加密货币欺诈损失为93亿美元，而报告的损失低于实际情况。
2. 托管失败。Mt. Gox、Celsius、FTX、Bittrex：这些交易所和借贷机构保管客户的币，随后却无法归还。破产法庭是加密货币一等就是数年的地方。
3. 自己造成的密钥丢失。助记词存在云相册里（被盗），只写在一张纸上（烧毁、水淹或被扔掉），或者根本没有备份。

请留意缺了什么：高明的黑客破解密码学。比特币的密码学从未被破解。攻击者绕开它，从您身上下手。这意味着决定您能否保住币的，是您的习惯，而不是您的技术水平。

10条规则

1. 不是您的密钥，就不是您的币

交易所里的余额只是一张欠条。只有把它提到由您掌握密钥的钱包里，它才真正成为您的比特币。只在交易所里放您正在交易或即将花掉的部分。凡是丢了会让您心疼的，都应放进自托管。

2. 从制造商处购买硬件钱包

硬件钱包把您的密钥保存在一台绝不会向电脑暴露密钥的设备里。请直接向制造商购买，不要从市场上的转售商处购买，那里出现过被动过手脚的设备。设备到手后，由设备自行生成一组全新的助记词；包括制造商在内，任何人都不应早于您见过它。

3. 助记词绝不数字化

不拍照。不存云笔记。不放进密码管理器。绝不在任何网站、应用或“验证工具”中输入。把这些单词写在纸上，或刻在钢板上，把备份存放在能经受火灾和水灾的地方，并考虑在另一个地点再留一份。凡是要求您在线输入现有助记词的服务，要么是骗局，要么即将变成骗局。

4. 要您“验证”的请求就是攻击

任何交易所、钱包厂商或网络红人都绝不会先私信您。主动联系您的“客服”是骗局。对您的钱包进行“验证”是骗局。任何要您把资金转到“安全地址”的人都是骗局。面对不请自来的加密货币“帮助”，正确的做法是不予理会并拉黑。

5. 收益有保证，亏损也有保证

每天2%、每月20%、“零风险套利机器人”：这些不是投资，而是倒计时器。加密货币中真实的收益是个位数的年化收益，并且伴随可以讲清楚的风险。比这更高的，不过是您自己的钱被返还给您，直到运营者跑路。

6. 资金流动时要放慢

地址投毒攻击会在您的交易记录中放入外观相似的地址，指望您复制其中一个。请核对每个地址的前几位和后几位字符，大额转账先发一笔小额测试，并把催促本身视为危险信号。加密货币中没有任何正当的事需要您在接下来的10分钟内行动。

7. 加固加密货币周边的账户

您的交易所账户，其安全程度不会超过您的电子邮箱和手机号码。请在交易所以及其背后的电子邮箱上，使用唯一的密码，并启用基于应用或硬件密钥的双重验证（切勿使用短信验证，它会被 SIM 卡劫持攻破）。请让您的移动运营商加设转出 PIN 码。

8. 保持环境简单无趣

浏览器里装满来路不明的扩展，电脑里装满破解软件，钱包里装满空投来的神秘代币，人们就是这样被洗劫一空的。请在干净的浏览器配置文件中操作加密货币，忽略未经邀请就出现的代币和 NFT，绝不签署您不理解的交易。授权钓鱼指恶意网站诱骗您授予花费权限，它会在您点击数月之后掏空钱包。

9. 安装之前先核实所装之物

钱包软件是您的设备上唯一能转走您资金的程序，因此应比其他软件更加谨慎。请从项目自己的网站或应用商店页面下载，并且自行输入网址访问，而不是通过搜索广告进入，因为假钱包应用会买下搜索结果的首位，并且已经上架了两大官方应用商店。凡是项目发布了签名或校验和的，都要进行验证：Bitcoin Core 和大多数桌面钱包都提供，而核对只需一分钟。通过电子邮件、私信或弹窗送达的钱包更新，应视为攻击，因为它通常就是攻击。

10. 确保您不在时有人能找到您的币

自托管有一种无人会预先考虑的失败模式：持有人不在了。以这种方式丢失的比特币将永久丢失，不少家庭眼睁睁看着自己明知存在的余额永远无法取出。请写下钱包和备份存放在哪里、是哪一类设备，告诉一位您信任的人这份说明确实存在，以及如何找到它，并把这份说明与助记词本身分开存放，这样找到其中一份就不等于找到两份。如果金额值得这样做，多重签名方案可以让您把恢复权限分散到不同的人或地点，而无需现在就把密钥交给任何人。

出问题时怎么办

行动要快，并保留记录。如果怀疑密钥已泄露，请立即把剩余资金转入全新的钱包。使用信誉良好的撤销工具撤销代币授权。向当地的网络犯罪部门报案，在美国还应向 FBI 的 IC3 报案。然后请注意：声称预付费用就能帮您追回加密货币的“追回服务”，是专门针对新受害者的第二轮骗局。真正的追回十分罕见，而且绝不会通过私信兜售。

接下来看什么

请先阅读如何安全保管加密货币，了解完整的保管流程；购买设备前，请查看本站的硬件钱包评测；并阅读 VPN 指南，了解网络隐私能保护什么、不能保护什么。然后，一次性把您的保管方案妥善设置好，继续过您的生活。目标就是平淡无奇。