GER:數據泄漏 硬件冷錢與軟件冷錢包誰更安全_PASC

這兩天硬件冷錢包廠商 Ledger 的用戶數據泄漏事件鬧的沸沸揚揚。我看了一下泄漏數據，我的名字和信息也赫然在列！很顯然，數據泄漏對用戶造成了利益侵害，然而我覺得更加值得探討是硬件錢包方向的問題。

之前，我也使用 Ledger。后來，因為看到硬件冷錢包的種種缺點，以及軟件冷錢包的興起，才毅然決定做 Ownbit 軟件冷錢包。

軟件冷錢包

不同于硬件冷錢包，軟件冷錢包使用純軟件的方式實現冷錢包功能。用戶需要使用兩部手機，其中一部永久離線，作為冷錢包存儲私鑰（助記詞）。另一部聯網，作為觀察錢包使用。

軟件冷錢包和硬件冷錢包實現同樣的功能，安全級別類似。但是它們有一些顯著的區別：

在線密碼管理平臺LastPass遭集體訴訟，被指控因數據泄露致超5萬美元的比特幣被盜:1月5日消息，一位被稱為John Doe的未透露姓名的原告代表其他類似情況的原告在美國馬薩諸塞州地方法院向在線密碼管理平臺LastPass提起集體訴訟，指控LastPass的數據泄露導致價值約5.3萬美元的比特幣被盜，原告聲稱他于2022年7月開始累積BTC，并根據LastPass最佳實踐的建議使用密碼生成器將主密碼更新為12個字符以上，然而在2022年感恩節周末或前后，原告的比特幣使用他存儲在被告LastPass的私鑰被盜。

此前消息，去年12月LastPass披露稱，未經授權的一方獲得了對第三方云存儲服務的訪問權限，LastPass使用該服務存儲其生產數據的存檔備份。[2023/1/5 10:23:08]

軟件冷錢包可以使用閑置手機，沒有額外的硬件；

Celsius受到Customer.io數據泄露事件的影響:金色財經報道，據該公司稱，Celsius一家供應商的一名員工將一份客戶電子郵件列表泄露給了“第三方不良行為者”。這家加密貨幣貸方周四在一封電子郵件中表示，它受到了同樣影響 OpenSea的 Customer.io 數據泄露事件的打擊。?該公司表示，盡管Celsius不認為其客戶面臨“任何高風險”，但它確實將數據泄露視為“嚴重違反供應商-客戶關系”，并已聯系有關當局。根據該公司的更新，其他五名 Customer.io 客戶在 OpenSea 之外受到影響。

Celsius電子郵件稱，Customer.io最初在 6 月 30 日表示Celsius 數據沒有受到影響。然而，7月8日，該公司警告說，Celsius 客戶電子郵件列表實際上已被泄露，盡管Celsius 在發現事件后立即刪除了 Customer.io 持有的所有數據。[2022/7/29 2:45:16]

硬件冷錢包通過數據線或藍牙傳輸數據，而軟件冷錢包通過掃描二維碼；

詐騙者郵寄虛假的硬件錢包給Ledger數據泄露受害者:硬件錢包制造商Ledger重大數據泄露的影響仍在持續。Reddit上r/ledgerwallet論壇的一名投稿人以“u/jjrand”為標簽發帖，自稱是受此次數據泄漏影響的投稿人之一，他發布了從郵件中收到的貌似是假的Ledger Nano X錢包的圖片。盡管包裹在看似真實的包裝中，但該設備仍包含幾個引起該網友懷疑的跡象。

最讓人吃驚的是，包裹里還附有一封寫得很糟糕的信，聲稱是Ledger首席執行官Pascal Gauthier的簽名，信中告訴收信人：“出于安全考慮，我們給你發了一個新設備。為了保證安全，你必須換一個新設備。”安全研究員 Mike Grover表示，這個假設備被篡改了。根據分析，這次騙局似乎是為了攔截用戶輸入的恢復短語，以便將細節轉移到一個由詐騙者控制的設備上，然后他們可以用它來竊取相關的加密貨幣資產。（Cointelegraph）[2021/6/17 23:45:01]

可信任的助記詞

情報公司：一項比特幣騙局使多國數千人數據泄露:金色財經報道，根據新加坡情報公司Group-IB的說法，一個欺詐性網站成功竊取了來自英國、澳大利亞、南非、美國、新加坡、馬來西亞、西班牙等國許多個人的記錄。此次攻擊是通過多個欺詐網站傳播的、有針對性的多級比特幣騙局，暴露了數千人的個人數據。據悉，這些網站偽裝成當地的新聞媒體，甚至還偽造了當地知名人士的評論。[2020/7/1]

軟件冷錢包可以實現更徹底的去信任（即不需要信任軟件開發者），用戶可以自行證明其錢包的絕對安全性。

在資產安全中，首當其沖的是助記詞的安全。而在助記詞的安全中，首要確認是助記詞生成的隨機性。如果您使用了一個作惡的硬件廠商（或者有bug）的硬件錢包，您可能在第一步就已經陷落了。因為您拿到的助記詞可能不是隨機的，是預先生成的，或者是假隨機的。

硬件冷錢包無法向用戶證明在這點上它們是安全的。我們繼續使用硬件錢包是基于對該硬件廠商的信任，而這點在數字貨幣的世界里是脆弱的。軟件冷錢包卻能給出證明。

在使用軟件冷錢包時，你可選擇信任軟件，讓其幫助您生成助記詞。也可以選擇不信任軟件，自行在它處生成助記詞。然后通過離線導入的方式生成冷錢包。因為冷錢包的設備是永久離線，不存在向互聯網傳輸數據的可能（唯一的交互是通過二維碼掃描和觀察錢包之間進行明文傳輸，可審查），所以助記詞的安全性得到了絕對的保障。

因此，軟件冷錢包的助記詞的安全性高于硬件冷錢包。

藍牙 vs 二維碼傳輸

硬件冷錢包和軟件冷錢包在數據傳輸上的方式差別也非常大。一般而言，硬件錢包通過藍牙與手機軟件相連接。而軟件冷錢包則是通過二維碼掃描進行數據傳輸。

藍牙傳輸方案的優點是：數據量大小不受限制。而這正是二維碼傳輸的缺點。因為一張二維碼所能包含的信息有限，對于有較大數據傳輸的場景，該缺點顯得尤為突出。例如：較大的比特幣交易（UTXO數量龐大）。

藍牙傳輸方案的缺點是：安全性低于二維碼傳輸。其安全性弱主要來自于兩個方面。一方面是不同的藍牙協議版本可能存在已知或未知的bug，在特定場景下，可能存在安全隱患。另一點是，藍牙傳輸方案留下了被其他設備干擾攻擊的可能。在短距離范圍內（10米內），通過其他藍牙設備進行針對性的干擾或攻擊。而這點在二維碼傳輸的方案里，是完全不存在的。

藍牙傳輸的另一個弱點是：可審計性差。而這點也是二維碼傳輸的一個巨大優勢。用戶可以明文查看所有通過二維碼傳輸的內容，以確認任何傳輸的信息都是安全的。這點可以讓軟件冷錢包方案提供商實現去信任，即用戶可以在數據傳輸層面確保其私鑰（助記詞）不受泄漏，而不用去信任該方案的提供商或開發人員、甚至不用擔心軟件本身可能存在的bug。

經濟性和靈活性

軟件冷錢包可以使用閑置的手機作為冷錢包存儲，而無需購買額外的硬件。因此更加經濟。

更重要的是，軟件冷錢包比硬件冷錢包更加靈活。通常軟件冷錢包可以實現比硬件冷錢包更加復雜的功能，例如：多簽冷錢包。

軟件冷錢包的靈活性，也讓其在資產的恢復方面也更加有優勢。如果您的硬件錢包損壞，需要購買（同一廠商）的硬件，進行硬件恢復。而使用軟件冷錢包，則沒有這樣的顧慮。

封閉和開放

軟件冷錢包比硬件冷錢包更加開放。通過二維碼傳輸數據的方式，可以在更廣泛的范圍內定義標準，實現不同軟件冷錢包廠商之間的互聯互通。而通過數據線或藍牙傳輸的方式卻無法實現這一點。

兩種方案的錢包生態

目前市場上，雖然主要的冷錢包產品依然是以硬件冷錢包為主，但是它們正在受到軟件冷錢包的沖擊。

硬件冷錢包：

Ledger 是最知名的硬件冷錢包方案提供商；

Trezor 是另一個知名的硬件冷錢包提供商；

軟件冷錢包：

Ownbit 是最早實現軟件冷錢包方案的錢包，也是支持冷錢包幣種最多的錢包之一；

Parity Signer 是 Parity 出品的以太坊軟件冷錢包；

未來

事物發展的方向永遠是化繁為簡。越來越多的冷錢包正在以軟件的方式實現。

就像大部分人不需要額外的硬件來進行閱讀（電子書），因為手機本身也可以進行閱讀。用更加常見的設備（手機）來替代專業的硬件是必然的趨勢！因為它們在功能上類似，甚至更加優秀！

原標題：硬件冷錢包向左，軟件冷錢包向右

Tags：LEDPASEDGEGERledger錢包是哪個國家的PASCledger錢包官網多少錢ledger錢包原理

比特幣交易所