Bitaigen Research Not Your Keys, Not Your Coins——去中心化的自由必須以絕對的私鑰安全為前提。
Chainalysis 在 2025 年 7 月的報告中指出，約有 17%‑23% 的比特幣因私鑰忘記或設備損毀而永遠失去存取權。私鑰等同於資產的所有權，一旦遺失便無法找回，亦沒有客服可以介入。鏈上世界賦予了我們自主權的同時，也把全部責任壓在了使用者身上。隨著生態的快速發展，資產被盜的案例層出不窮，受害者往往在事後才意識到問題所在，卻難以迅速定位洩漏環節——是私鑰被竊、釣魚連結、惡意軟體，還是其他操作失誤？
OKX Web3 安全團隊希望透過本篇科普，提升大家對私鑰保護的認知，並梳理常被忽視的安全盲點。
---
Bitaigen 編輯團隊精心梳理了私鑰與助記詞的洩漏路徑，並提供實用的防護措施。本文從常見盲點、攻擊手法到日常操作細節，協助使用者建立可靠的安全體系，降低資產失竊風險，值得細讀。
一、私鑰或者助記詞為什麼會洩漏？
很多人誤以為只要在使用錢包時才會出現私鑰洩漏的風險。實際上，只要私鑰的保存方式不當，就可能被他人取得。即便使用官方渠道下載的大品牌錢包，只要在生成或備份階段出現疏漏，私鑰同樣會暴露。一旦私鑰落入他人之手，攻擊者可以在任意錢包中匯入並完全掌控對應帳戶的資產。
透過對業界大量案例的歸納，我們發現私鑰洩漏的根源大多集中在以下幾類情形（下文將展開說明）：
*圖片：慢霧余弦老師分享的私鑰被盜原因分析之難點*
---
二、常見的私鑰洩漏場景和規避方法
（一）建立錢包時即已洩漏——最容易被忽視的環節
案例一：委託他人代為建立錢包
李先生在一位自稱「熱心導師」的協助下完成了錢包的建立、設定交易密碼並進行首次充值。雖然交易密碼成功設定，但在建立過程中，導師已取得了李先生的私鑰。隨後，李先生的 5 ETH 在短時間內被轉走。交易密碼僅是本地檢驗，掌握私鑰的人可以隨時在其他錢包中匯入並轉移資產。
台灣金管會提醒，相關交易需遵守當地法規，請自行評估法規風險。
案例二：遠端投屏建立錢包
張女士在一次視訊會議中接受「老師」遠端指導，老師一步步演示下載錢包、產生助記詞、充值 Gas 並購買代幣。整個過程看似貼心，卻在投屏的瞬間將助記詞暴露在螢幕上。兩週後，約 12,000 USD（約 384,000 TWD）的 USDT 被轉走。
台灣金管會提醒，相關交易需遵守當地法規，請自行評估法規風險。
安全建議：務必自行完成錢包的全流程建立，切勿讓他人代辦。如懷疑私鑰已洩漏，及時將資產遷移至全新地址。
安全建議：建立錢包時請關閉任何螢幕共享、錄屏或投屏功能。若懷疑助記詞已洩漏，同樣應立即遷移資產。值得一提的是，OKX Wallet 在顯示私鑰和助記詞的頁面已內建防截屏、錄屏與投屏機制，進一步提升安全性。
*圖片：偵測到投屏後，OKX Wallet 自動隱藏助記詞和私鑰，防止他人看到文字*
（二）保存不當導致洩漏——最常見的風險
案例三：偽裝官方 APP，安卓使用者的惡夢
王先生將助記詞截圖保存至本機相簿，認為不上傳雲端更安全。後來在論壇下載了一個外觀幾乎與官方 Telegram 完全相同的「加強版」APP。該惡意程式會在背景讀取相簿，利用 OCR 技術辨識助記詞並上傳至駭客伺服器。三個月後，王先生的帳戶被清空，損失超過 50,000 USD（約 1,600,000 TWD）。進一步檢查發現，他的手機中還潛伏著假冒的 imToken、MetaMask、Google Authenticator 等多個惡意軟體。
台灣金管會提醒，相關交易需遵守當地法規，請自行評估法規風險。
案例四：BOM 惡意應用誘導授權
2025 年 2 月 14 日，多位使用者回報錢包資產被盜。鏈上分析顯示，這批被盜帳戶均出現助記詞/私鑰洩漏的特徵。追蹤後發現，受害者皆曾安裝並使用名為 BOM 的應用。該軟體偽裝成正常工具，誘導使用者授權後竊取助記詞或私鑰，隨即批量轉移資產並嘗試隱匿蹤跡。
台灣金管會提醒，相關交易需遵守當地法規，請自行評估法規風險。
安全建議：
- 杜絕助記詞截圖，建議手寫紙本備份並妥善保管。
- 僅透過官方渠道下載應用，不要輕信所謂的「加強版」或第三方改版。
- 若發現裝置異常或曾保存過私鑰截圖，務必立即將資產轉入新錢包。
- OKX 為防止使用者在備份頁面截圖，已在這些敏感頁面禁用截屏功能。
*圖片：OKX Wallet 在私鑰和助記詞頁面禁止截屏*
此外，Android 端還提供惡意應用掃描，協助使用者提前識別潛在風險。
*圖片：OKX Wallet Android 版的惡意應用掃描功能示意圖*
（三）釣魚攻擊——最容易上當的場景
案例五：偽裝空投的釣魚網站
某知名 NFT 項目在 Twitter 宣布空投新代幣，訊息發布後僅 10 分鐘，搜尋結果前列出現大量釣魚網站，這些站點的網域僅與官方網域相差一個字元（如 `opensae.io` vs `opensea.io`），頁面幾乎一模一樣。使用者在連接錢包後被提示「網路擁擠，請手動輸入助記詞領取空投」。當天超過 50 名使用者上當，累計損失超過 200,000 USD（約 6,400,000 TWD）。最快受害者從輸入助記詞到資產被轉走僅用了 3.7 秒。
台灣金管會提醒，相關交易需遵守當地法規，請自行評估法規風險。
案例六：社交工程式詐騙
趙女士在專案的 Discord 群中遇到操作問題，一位自稱官方客服的管理員主動私聊並發送「驗證頁面」連結。趙女士在該頁面輸入助記詞後，錢包資產在幾分鐘內被多筆轉出。此類詐騙往往冒充官方、好友或專案方人員，誘導受害者在網頁上直接提交私鑰或助記詞。
台灣金管會提醒，相關交易需遵守當地法規，請自行評估法規風險。
安全建議：正式 DApp 永遠不會要求使用者提供私鑰，可信任的個人也不應索取助記詞。記住，私鑰是資產的唯一鑰匙，務必妥善保管，切勿輕易透露。
---
三、為何私鑰洩漏後錢包廠商的干預空間有限？
當使用者發現資產異常並聯繫錢包團隊時，團隊能做的往往只能是協助追蹤資金流向。由於區塊鏈的不可篡改與去中心化特性，錢包提供方沒有權限凍結或回滾鏈上交易。攻擊者在取得私鑰後，通常會借助自動化腳本在數秒內完成轉移，幾乎沒有攔截的可能。只有當被盜資產最終流入中心化交易所，才可能透過司法手段申請凍結。
我們在收到「資產被盜」報告時的基本流程如下：
- 鏈上資金流向分析——判斷是否與已知駭客地址或聚集體有關。
- 建議使用者盡快轉移剩餘資產，降低進一步損失。
- 提醒使用者聯絡當地執法機關，透過法律途徑爭取協助。
- 內部復盤——歸納攻擊手法，為後續使用者提供防護參考。
OKX 長期投入風控體系與多重驗證機制，雖看似繁瑣，卻是保護使用者資產的必要手段。正如下圖所示，OKX Wallet 的安全評分在業界位居前列。
*圖片：OKX Wallet 安全評分位列第一*
然而，無論錢包本身多麼安全，若使用者的安全意識薄弱，仍可能因釣魚、私鑰洩漏等原因蒙受損失。私鑰的妥善保管始終是最根本的防線。
---
四、總結一下，私鑰安全 Tips
- 切勿將助記詞或私鑰以電子方式保存（截圖、文件、雲端），建議紙質手寫並存放於防火防水的安全地點。
- 錢包建立全程自行完成，避免他人代辦或遠端投屏操作。
- 僅從官方渠道下載安裝應用，並使用錢包內建的惡意應用掃描功能。
- **警惕任何要求輸入助記詞或私鑰的網頁
💡 註冊幣安使用邀請碼 B2345 享平台手續費折扣。詳見 幣安完整教學。
