在上一篇文章的時候我們解釋了助記詞之於 Web3 的重要性，而我們的助記詞一定會需要放到錢包中，這時候錢包的安全性就非常關鍵了。<a href="https://blog.kryptogo.com/web-3-%E6%99%82%E4%BB%A3%E5%BF%85%E5%82%99%E7%9A%84%E9%87%91%E8%9E%8D%E8%B3%87%E5%AE%89%E5%B8%B8%E8%AD%98-%E5%8A%A9%E8%A8%98%E8%A9%9E-%E7%A7%81%E9%91%B0-%E9%8C%A2%E5%8C%85-%E5%B8%B3%E8%99%9F-de8a0dc77d89">Web 3 時代必備的金融資安常識：助記詞/私鑰/錢包（帳號） — KryptoGO</a>與銀行不同，區塊鏈沒有像銀行全範圍的反欺詐偵測系統，出問題也沒有辦法有立刻幫忙撤銷或恢復交易的客戶支援。比起同樣在手機上的銀行 APP，加密錢包的應用安全一旦出問題，資金更容易被快速竊取轉出。加密錢包安全非常棘手，所有難以發現的漏洞和潛在問題通常存在於多個缺陷的交匯處：密碼學、對本地儲存的存取、應用缺乏身份驗證、輸入缺乏驗證。即時每個問題點都相對較小，但當它們組合在一起時，會暴露更多意想不到的<a href="https://zh.wikipedia.org/zh-tw/%E6%94%BB%E5%87%BB%E8%A1%A8%E9%9D%A2">可攻擊表面</a>。<h1 style="margin-left:0px;">檢查加密錢包 APP 的安全性</h1>如果我們按照軟體與硬體錢包來區分的話，硬體錢包的選擇相對比較簡單一點，基本上選擇市佔率第一的通常沒有什麼問題，但是軟體錢包的發展就相當快了，尤其是這個多鏈的時代，有各式各樣的軟體錢包供我們選擇。軟體錢包又包含了瀏覽器錢包以及手機錢包，瀏覽器錢包通常是開源的，並且都會有多人審計，且目前多數主要由少數幾家錢包廠商壟斷，因此這篇文章主要的重點會放在如何檢查加密錢包 APP 的安全性。<h1 style="margin-left:0px;">1. 資產的所有權</h1><a href="https://blog.kryptogo.com/%E9%8C%A2%E5%8C%85%E7%9A%84%E5%85%A9%E5%A4%A7%E9%A1%9E%E5%9E%8B-%E8%A8%97%E7%AE%A1%E8%88%87%E9%9D%9E%E8%A8%97%E7%AE%A1-%E6%B2%92%E6%9C%89%E7%A7%81%E9%91%B0%E5%B0%B1%E4%B8%8D%E7%AE%97%E7%9C%9F%E6%AD%A3%E6%93%81%E6%9C%89%E5%8A%A0%E5%AF%86%E8%B3%87%E7%94%A2-d4e43c02e207">錢包的兩大類型：託管與非託管 — 沒有私鑰就不算真正擁有加密資產 — KryptoGO</a>使用錢包最重要的第一個步驟就是先檢查他到底是不是真的託管錢包。檢查方式很簡單，當你發送任何交易的時候，直接按照 Tx ID 到區塊鏈瀏覽器查看自己的錢包地址是否是自己獨有，還是像整個交易所一樣共用。如果是託管錢包，那麼代表資產並不是自己可以持有動用的，唯一能做的就是相信他們公司，對這家公司以及背後的經營團隊做盡職調查：團隊成員過去是否有不良記錄、過去的產業經驗、公司信用、團隊技術能力、是否有取得相關的認證標準…等等。因為託管錢包更多的是公司以及團隊信用，當然基本的技術能力還是要有的，如果沒有可能導致以下常見的低級錯誤發生：<ol><li>密鑰管理不善：將加密密鑰與數據一起以明文形式存儲；缺少密鑰輪換、撤銷、過期；將加密密鑰用於多種不同目的。</li><li>記憶體管理不善：在應用程式碼中流竄敏感資料，而不是限制其在記憶體、硬碟和 UI 上的生命週期。</li><li>甚至以明文形式儲存錢包會使用到的敏感資料。</li></ol><h2 style="margin-left:0px;">KryptoGO Wallet 屬於非託管加密錢包</h2>KryptoGO 自 2019 年創立，早在 2019 年的時候就獲得 Etherscan 認可選為智能合約審計以及資安的推薦廠商。團隊有多年的區塊鏈經驗，豐厚的技術實力也獲得政府、銀行、以及國際認證機構的認可。<img class="image_resized" style="width:692px;" src="https://miro.medium.com/max/1400/1*Cf7p0ychwDhFdVUB6IzkIw.png" alt="" loading="lazy"><a href="https://etherscan.io/directory/Smart_Contracts/Smart_Contracts_Audit_And_Security?q=KryptoGO">Ethereum Directory for Smart Contracts — Smart Contracts Audit And Security | Etherscan</a><h1 style="margin-left:0px;">2. 加密錢包應用本身的安全機制</h1>加密錢包需要在很多個環節做好保護，例如：檢查設備是否受信任、是否已 Root 或越獄、是否安裝了潛在有害的應用程式、或逆向工程工具等。（現在有<a href="https://en.wikipedia.org/wiki/Pegasus_(spyware)">惡意 APP</a> 可以用來竊取使用者的憑證、助記詞或私鑰）。這部份可以按照 <a href="https://github.com/OWASP/owasp-masvs/blob/master/Document/0x03-Using_the_MASVS.md#masvs-r-resiliency-against-reverse-engineering-and-tampering">OWASP MASVS L2</a> 的建議對實施逆向工程和篡改保護。行動平台（iOS、Android）提供了很多硬體層級的安全控制，要求使用者設置密碼是相對容易實作的功能，開啟這層的保護就可以為攻擊者製造多一層的阻礙。如果未安裝密碼，任何人都可以解鎖手機並竊取錢包數據，甚至訪問鑰匙串/鑰匙庫。另外放入 Keychain/Keystore 之前最好都要對敏感資料進一步加密，這樣一來即使手機受到攻擊並且攻擊者可以存取 Keychain/Keystore，拿到的也只是加密後的資料。<h2 style="margin-left:0px;">KryptoGO Wallet 全方位保護各個環節</h2><ol><li>不支持舊設備或是有資安風險的舊版本，使用作業系統原生安全儲存，限制敏感資料的生命週期，從而降低成功攻擊和數據洩露的風險。</li><li>將敏感資料全部保存在原生系統提供的安全儲存區域中。</li><li>在開發階段做完整的程式碼審查，每個人提交的合併要求至少要通過第二人複核。</li><li>對開發者的設備還有工作環境做好保護，避免社交攻擊。</li><li>提交審核之前做全面的滲透測試確保沒有程式碼邏輯造成的漏洞。</li><li>在錢包 APP 的使用流程考慮各種情境，包含：手機掉了、號碼換了、或是手機暫時借給別人，我們確保每一個使用環節都滴水不漏。</li></ol><h1 style="margin-left:0px;">3. 非託管錢包的本地儲存</h1>由於非託管錢包需要在本地儲存助記詞、種子和私鑰，因此了解本地存儲的工作原理以及針對它的常見攻擊方式至關重要。以下是開發人員可以檢查的事項：<ul><li>應該使用什麼樣的存儲來提供最佳的安全？</li><li>存儲是否可以作為文件訪問？它可以被其他應用程式訪問嗎？</li><li>你能驗證這種存儲的真實性嗎？是否有可能從一個錢包中“偷走”存儲空間並將其放入另一個錢包而不會出現問題？</li><li>是否有任何完整性檢查？或者任何人都可以更改存儲的數據，而加密錢包不會注意到任何事情。</li><li>存儲是否提供其他加密（如：硬體支援的加密方式），還是資料以明文形式存儲？</li><li>是否應該在將資料放入存儲之前使用應用程式級加密來加密資料？如果是這樣，加密密鑰將儲存在哪里以及如何私鑰如何衍生？</li></ul><h2 style="margin-left:0px;">KryptoGO 使用原生作業系統的安全區域保護助記詞</h2>我們使用 <a href="https://developer.apple.com/documentation/security/keychain_services#//apple_ref/doc/uid/TP30000897-CH203-TP1">iOS Keychain</a> 以及 <a href="https://developer.android.com/training/articles/keystore">Android Keystore</a> 加密保存 AES 加密後的資料。AES 加密算法是密碼學中的高級加密標準，該加密算法采用對稱分組密碼體制，密鑰長度的最少支持為128、192、256，分組長度 128 位，算法應易於各種硬件和軟件實現。這種加密算法是美國聯邦政府采用的區塊加密標準，AES 標準用來替代原先的DES，已經被多方分析且廣為全世界所使用。<img class="image_resized" style="width:692px;" src="https://miro.medium.com/max/1400/1*KmosuUNt6h6ZLQ7UGbGMag.gif" alt="" loading="lazy">AES 的工作原理以下是我們針對助記詞加密的方式，從這個公式可以看到我們加密助記詞的方法（沒有全數公開，這樣可以避免暴露不必要的攻擊表面），所有的傳輸環節我們都是密文而非明文：<img class="image_resized" style="width:692px;" src="https://miro.medium.com/max/1400/1*3iiKwvOOij_R5MhjLpXc9w.png" alt="" loading="lazy">KryptoGO Wallet 對於助記詞的加密保護<h1 style="margin-left:0px;">常見問題</h1><h2 style="margin-left:0px;">Q1：既然是非託管錢包，為什麼還需要我們填寫手機號碼？</h2>手機號碼是為了簡化錢包創建的流程。我們觀察到現在大部分的錢包對於一般人來說並不是那麼直覺友善，透過大家已經習慣的 Google 或是 Facebook 等帳號密碼登入是一種方式，但是這種方式與 Web3 格格不入，而我們想要打造的是兼顧安全以及易用性的錢包，那麼手機號碼是最直覺的登入方式，就像是使用 Clubhouse 一樣，不需要註冊帳號密碼，每次通過驗證碼以及只有自己知道的錢包密碼就可以找回所有區塊鏈的錢包。<img class="image_resized" style="width:692px;" src="https://miro.medium.com/max/1400/1*sEU9lSdNnMUUrwY1qoF_1g.png" alt="" loading="lazy">KryptoGO Wallet 設計中考慮各種環節，可以選擇不透過我們託管私鑰。透過我們託管助記詞是一種選擇，如果第一次使用不放心，可以不選擇匯入，產生全新錢包。使用其他的錢包也是相同道理，錢包 APP 的權力非常大，使用的時候一定要非常留意謹慎，避免受到釣魚攻擊。可以先創建一個錢包或者使用觀察模式，觀察那個錢包的運作邏輯以及 APP 的保護機制，如果錢包是值得信任的再放入助記詞。<h2 style="margin-left:0px;">Q2：那麼我們錢包會開源嗎？</h2>開源是一把雙刃劍，從攻擊者的角度來看，如果加密錢包的代碼是開源的，結合 3–4 個漏洞並不難，駭客可以閱讀實作細節設法找到程式漏洞，利用漏洞攻擊。因此，我們暫時傾向不開源，但是會做<a href="https://www.ithome.com.tw/article/112343">黑箱以及灰箱的滲透測試</a>。同時我們會透過正確的安全設計、提高開發人員的安全水平，用最佳合適的密碼原語（Primitives）編寫程式、使用經過驗證的模組與函式庫並正確整合它們來防止安全漏洞。除此之外，我們投入大量的資源遵循安全軟件開發週期 (SSDLC) ，是世界上少數取得雙 ISO 認證（資安 &amp; 個資隱私）的區塊鏈公司。（詳見：<a href="https://blog.kryptogo.com/%E8%B3%87%E8%A8%8A%E5%AE%89%E5%85%A8%E8%88%87%E5%80%8B%E8%B3%87%E9%9A%B1%E7%A7%81%E7%9A%84%E8%AA%8D%E8%AD%89-iso-27001-%E8%88%87-iso-27701-%E4%BB%8B%E7%B4%B9-217b5a881178">資訊安全與個資隱私的認證 － ISO 27001 與 ISO 27701 介紹 — KryptoGO</a>）<h1 style="margin-left:0px;">推薦閱讀</h1><ul><li><a href="https://www.cossacklabs.com/blog/crypto-wallets-security/#local-data-storage">Crypto wallets security as seen by security engineers — Cossack Labs</a></li><li><a href="https://www.infoq.com/articles/ale-software-architects/">Application Level Encryption for Software Architects</a></li></ul>

在上一篇文章的時候我們解釋了助記詞之於 Web3 的重要性，而我們的助記詞一定會需要放到錢包中，這時候錢包的安全性就非常關鍵了

使用錢包的安全檢查要點 － 以 KryptoGO Wallet 為例

遠離交易所風險：為什麼 KryptoGO 錢包是必備之選

解析台灣 VASP 監管演進：從法遵聲明到登記制，再邁向特許制

深入技術解析：為何選擇成熟的加密錢包服務而非自行開發

加密錢包演化的五個階段

使用加密貨幣營運的挑戰與解決方案

從 EOA 到智能合約錢包：選擇正確的去中心化錢包類型

企業如何選擇加密貨幣錢包？中心化與去中心化錢包優勢解析

從防範詐騙到加強監管：台灣加密貨幣市場面臨的合規挑戰與解決之道

【貼心提醒】請防範詐騙，KryptoGO 絕不會主動要求您進行投資操作

Web3 企業運營：未來趨勢還是當下需求？

KryptoGO Compliance 結合 GPT 模型，讓 KYC 更加簡單

玩而非賺錢？區塊鏈遊戲與賺錢遊戲的新思考

KryptoGO 推出具 AI 賦能的企業一站式 Web3 雲端解決方案

Compliance 產品新功能：客戶案件審查，自動化資料收集和合規審查解決方案

什麼是錢包即服務（Wallet as a Service，簡稱 WaaS）？

YGGJ、KryptoGO 和 IVC 合資成立 StickeyGO：徹底改變 GameFi 錢包 |  GameFi 錢包

VASP 洗錢防制法遵聲明－申請流程疑義釐清 | 洗錢防制法

解鎖未來，探索下一代的數位錢包與身份認證：Passkey + DID + FIDO | DID + FIDO

連結 Web2.0 和 Web3.0 的重要橋樑：WaaS服務，可以應用在哪些場景？用來做什麼？ ｜WaaS服務

港中台Web3發展各有千秋！KryptoGO 執行長親自前往香港的四大觀察 ｜Web3發展

一站式 eKYC/AML 解決方案有哪些好處和亮點？ ｜eKYC/AML

KryptoGO 團隊獲 ETHGlobal Tokyo 三大獎項！未來進一步與 YGG Japan、IVC 攜手佈局 GameFi 產業 ｜ ETHGlobal 

一站式 KY-A-B-C！KryptoGO Compliance 助企業合規審查更加便利 ｜ KY-A-B-C

虛擬貨幣監管成定局！KryptoGO 重量科技執行長歐曜瑋給業者五大建議 ｜虛擬貨幣監管

KryptoGO 重量科技執行長歐曜瑋：善用監理科技、一站式解方，讓合規不再是難題 ｜監理科技

深入探討抽象帳戶：如何支援 ERC-4337 交易  ｜ ERC-4337

金融科技領域的下一個商機：WaaS 是什麼？｜WaaS 

開發一個加密貨幣錢包需要多少錢？｜加密貨幣錢包

如何暢遊元宇宙？7 種不同類型的區塊鏈錢包指南 ｜ 區塊鏈錢包

虛擬資產交易服務的 KYC、AML 需求浮上檯面！KryptoGO Compliance 偕蓋亞資訊首創監理調查引擎 | KYC、AML 

KYC 和 AML 是什麼？一站式合規解決方案如何助力 VASP 與 OTC 業務

虛擬資產該怎麼管？一文帶你跟進最新虛擬資產國際監管趨勢

虛擬世界的護照，什麼是錢包？

DeFi 與 KYC 是「矛盾衝突」亦或是「雙贏共存」？

KryptoGO 錢包更新：支援 Ronin 鏈、個人鏈上檔案、Wallet Connect 2.0、操作體驗優化

幣安要完蛋了嗎？KryptoGO 如何看待這次 BUSD 禁令逃難事件？

加密貨幣風險增強與監理趨勢不明朗之下，各家業者因應對策？

號稱最合規的交易所 Coinbase 被政府罰裁罰一億美金，並限期修正

KryptoGO 介紹：去中心化錢包，自己的錢自己保管!

有極大發展潛力的 7 種 NFT 類型

冷錢包安全性深度解析：你的加密貨幣真的安全嗎？

KryptoGO Wallet 產品更新：鏈上資產管理與收藏品體驗進化、新增日文語系！

為什麼 FTX 交易所倒閉，你拿不回屬於你的加密資產？－ Not Your Key, Not Your Coin

完整攻略！憑 KryptoGO Wallet 參加【WAGMI Pitch Battle】即可獲 MATIC 空投！

KryptoGO Wallet 產品更新：全新的 NFT 空投獎勵中心、邀請轉帳功能

Web 3 時代必備的金融資安常識：助記詞/私鑰/錢包（帳號）

品牌想發 NFT，卻被抱怨太難領？從「發行流程」看懂行銷痛點為何

無視熊市！KryptoGO 獲國發基金投資，總募集資金超過 300 萬美元

KryptoGO 產品更新｜2022.08.05

【科普】何謂 DeFi？為什麼它是金融模式的世紀革命？

【8/3 駭客大事件】Solana 生態系錢包被盜危機，我該如何自保？

KryptoGO 產品更新｜2022.07.20

NFT 只能拿來買賣？從無聊猿看 「賦能」的無窮潛力

從新手到高手：五分鐘學會在 Uniswap 交易加密貨幣

在元宇宙的 10 個注意事項，保護你的加密資產

回顧 2021 年加密產業的監管四大事件

讓傳統應用高牆倒下的關鍵 － Web3 的助記詞（Seed Phrase / Mnemonic）

錢包的兩大類型：託管與非託管 — 沒有私鑰就不算真正擁有加密資產

KryptoGO Wallet 多錢包新增或導入時，要建立在什麼鏈上？

台灣虛擬通貨業者必看：如何符合VASP防洗錢和打擊資恐規範

加密產業趨勢 － 2021 年回顧以及 2022 年展望

Blockchain 101 (下集) — 從區塊鏈瀏覽器一窺比特幣『公開式帳本』& UTXO 記帳模式

NFT 正改變社群的行銷樣貌 — 使用 KryptoGO 賦能

NFT 發行方越來越多，如何確保自己的投資不會打水漂？

智能合約開發的五道資安防護

從元宇宙走入你的現實人生 — 談 NFT 身份象徵與所有權驗證

Coinbase 砸 1 億美元和解，KryptoGO 執行長：台灣政府將有判例依循，VASP 業者需謹慎注意

資訊安全與個資隱私的認證 － ISO 27001 與 ISO 27701 介紹

開放銀行、開放資料、開放標準，為什麼說 DeFi 正在吞噬傳統金融？

錯誤追蹤少算 60% 收益，為什麼追蹤 DeFi 績效回報那麼難？

為什麼我們要開發錢包：KryptoGO Wallet？

FATF 通過草案，正式發佈虛擬資產服務提供商（VASP）監管指南，DeFi 與 NFT 列管

低風險獲得高達 17 倍的收益 — Polkadot 波卡生態系平行鏈眾貸投資指引（Crowdloan）

KryptoGO KYABC 盡職調查引擎結合 Jumio 身份驗證技術為業者帶來全方位 eKYC 解決方案

Travel Rule 在監管實行上的三大挑戰

應對虛擬資產的快速發展，FATF 做了些什麼？

玩轉 BSC defi 系列 — PancakeSwap

囊括五個獎項！KryptoGO 憑什麼成為國際監理科技黑客松的最大贏家？ | 經濟日報

玩轉 BSC defi 系列 — 行前須知

數位化浪潮之上，迎來的挑戰 — 談下一世代的監管

漫談區塊鏈三要素：權利歸屬、價值交換、價值共識

我們的願景與使命: 打造信任網路的鐵三角

KYC 與 AML 的差別到底是什麼？

星展與渣打接連開設加密銀行，對大眾以及既有加密市場的影響是什麼？

法幣到虛擬貨幣 — 談交易監控的重點

去銀行總是備受關懷? 五分鐘了解 KYC 到底在做甚麼

如何監管虛擬貨幣？ — 關於 FATF 提出的 Travel Rule 建議

怎麼洗錢？ 3 個洗錢的階段、3 個洗錢的常識。重量科技 ｜ 亞洲監理科技第一品牌

一場對於區塊鏈的思辨

Blockchain 101 (上集)- 最白話的區塊鏈懶人包

加密貨幣監管趨勢：從亞太各國監管現況看 2020 年區塊鏈分析服務

使用錢包的安全檢查要點－以 KryptoGO Wallet 為例

相關文章

熱門文章

熱門標籤

使用錢包的安全檢查要點 － 以 KryptoGO Wallet 為例

相關文章

熱門文章

熱門標籤

使用錢包的安全檢查要點－以 KryptoGO Wallet 為例