比特幣保管入門：私鑰、助記詞與冷錢包

2013 年，一位英國威爾士的 IT 工程師在收拾房間時，把一塊舊硬碟扔進了垃圾袋。後來他才意識到，那塊硬碟裡存著他早年挖到的約 8,000 枚比特幣的私鑰。此後十多年，他反覆請求當地政府允許他挖開垃圾掩埋場尋找，提出過各種方案，甚至把市政府告上法庭，都沒能如願。2025 年，他表示不再尋求挖掘掩埋場。

2017 年，一位美國科技作家把比特幣存進了一台硬體錢包，並把 PIN 碼寫在一張紙上。他外出旅行期間，這張紙被當作廢紙扔掉了。回到家後，他怎麼也想不起 PIN 碼，而每輸錯一次，裝置要求等待的時間就成倍增加。整整幾個月，他眼看著價值約三萬美元的比特幣可能就此鎖死。最後，是靠著一個公開披露的裝置漏洞，在一位少年程式設計師的遠端指導下，他才把 PIN 碼找了回來。他是幸運的，大多數人沒有這樣的機會。

這樣的故事並不少見。區塊鏈分析公司 Chainalysis 在 2020 年估計，約有三百七十萬枚比特幣很可能已經永久丟失，約佔當時比特幣總量的五分之一。

比特幣沒有「忘記密碼」按鈕，也沒有客服可以幫你重置。正因為如此，在買入之前、在存放之時，都值得花二十分鐘，把保管這件事想清楚。

先搞懂四個詞

其中最重要的一點是：比特幣並不在錢包裡。它始終記錄在區塊鏈上，錢包保管的，只是證明你有權動用它的那把鑰匙。

想通了這一點，很多事就清楚了。手機丟了、壞了，比特幣本身不會丟，只要助記詞還在，換一台裝置就能恢復。反過來，如果裝置丟了、助記詞也沒有備份，那這些比特幣就再也找不回來了，因為世界上沒有任何一個機構替你存著副本。

放在平台，還是自己保管

持有比特幣，大致有兩種方式。

一種是託管：把比特幣放在交易平台或託管機構，由對方替你保管私鑰。你在平台上看到的是帳戶裡的餘額，你對這部分資產享有什麼權利，取決於平台的服務條款和當地法律。

另一種是自託管：私鑰握在自己手裡，你持有的是真正的鏈上資產。

我們不推薦其中任何一種。需要說明的是，自託管並不等於更安全，它只是把原本由機構承擔的風險，轉移到了你自己身上。開頭那兩個故事，都是自託管出的問題。選哪一種，取決於你的金額、經驗和習慣。

助記詞：最要緊的那張紙

如果整篇文章你只記住一部分，請記住這一節。

用於長期存放的錢包，助記詞最好在離線裝置上生成，比如硬體錢包，並且當場抄寫下來。不要用來路不明的網頁工具生成。

保管助記詞，請守住這幾條：

1. 不要把它輸入任何網站、聊天視窗或客服對話框。沒有任何正當的理由需要你這樣做。
2. 不截圖、不拍照、不存雲端硬碟、不發給自己。手機相簿往往會自動同步到雲端，雲端帳號一旦被盜，助記詞就等於公之於眾。
3. 抄在紙上，或者刻在金屬板上，離線儲存。紙會被火燒、被水泡，也會隨著時間褪色，存放的地方要防火防潮。
4. 至少準備兩份備份，分開存放。只有一份，一次火災、一場搬家就可能讓它消失；幾份都放在同一個抽屜裡，和只有一份差不多。
5. 如果給錢包設定了額外密碼（passphrase，常被稱為「第 25 個詞」），請確認它也有可靠的備份；硬體錢包的 PIN 碼也一樣，別只寫在一張隨手可能被扔掉的紙上。開頭那張被扔掉的紙條，就是教訓。

最後，還有一條沒有任何例外的規則：任何人向你索要助記詞，都是騙子。交易平台不會要，錢包客服不會要，官方機構不會要，我們也不會要。

熱錢包和冷錢包

熱錢包始終聯網，用起來方便，適合放少量、日常要用的比特幣。冷錢包不聯網，私鑰從不接觸網路，適合長期存放。

常見的做法是兩者搭配：日常零用的少量放在熱錢包，長期持有的大部分放在冷錢包。道理就像你不會把全部積蓄都揣在身上出門。

但冷錢包也有它管不到的地方：助記詞保管不當、被人騙著親手簽了一筆轉帳，它都防不住；裝置一旦丟失，能否找回，也全看助記詞有沒有備份好。沒有哪一種方案是絕對安全的。

騙局長什麼樣

除了遺失，另一類常見的損失來自騙局。

2018 年底起，一款老牌比特幣錢包的使用者陸續遇到一件怪事：開啟錢包準備轉帳時，螢幕上彈出一條提示，說必須先升級安全設定才能繼續。提示看起來和官方訊息一模一樣。不少人照著點了下去，安裝了所謂的「新版本」，錢包裡的比特幣隨即被轉走。事後查明，這些提示來自攻擊者架設的惡意伺服器。據公開報導，幾年間被盜的比特幣累計超過一千枚。

這類騙局形態各異，思路卻很相似：

• 冒充客服：在社群、留言區或私訊裡主動找你，說能幫你解決問題，然後索要助記詞，或者引導你開啟某個網頁。真正的客服不會主動私訊你，更不會要你的助記詞。
• 虛假空投或活動：以領取獎勵為名，讓你連線錢包，簽署一份看不懂的授權。授權一簽，資產就可能被轉走。
• 虛假升級提示：偽裝成錢包或交易平台的更新通知，把你引到仿冒頁面輸入助記詞，或者安裝帶有惡意程式的軟體。
• 剪貼簿篡改：電腦中了惡意軟體後，你複製的收款地址會在貼上時被悄悄換成攻擊者的地址。
• 仿冒網站和地址投毒：網址只差一兩個字元，頁面幾乎一模一樣；或者攻擊者特意生成一個開頭和結尾都與你常用地址相同的假地址，混進你的轉帳紀錄裡。

它們都在誘導你做一件當下看起來無害、實際上會把控制權交給別人的事。

用二十分鐘，檢查一遍自己

看到這裡，不妨對照下面這份清單，檢查一遍自己的情況。

如果你還沒有比特幣，或者正打算購買：

• 想清楚是放在平台，還是自己保管，並瞭解對應的風險。
• 如果決定自己保管，先用很小的金額完整練習一遍：生成助記詞、抄寫、刪除錢包、再用助記詞恢復。確認能恢復，再存入更多。
• 只從官方管道下載錢包軟體，並核對網址。

如果你已經持有比特幣：

• 你的助記詞現在在哪裡？除了你，還有誰可能接觸到它？
• 它有沒有以截圖、照片或文字的形式，出現在手機、電腦或雲端硬碟裡？
• 備份是不是至少有兩份，並且分開存放？能經受住一次火災或一次搬家嗎？
• 如果設定了額外密碼或 PIN 碼，有沒有可靠的備份？
• 如果明天你出了意外，你信任的家人知不知道這些資產的存在，以及在需要時該如何找到它們？

每一次轉帳時：

• 逐段核對完整的收款地址，不要只看開頭和末尾幾位。
• 金額較大時，先轉一筆小額測試，確認到帳後再轉剩餘部分。多付一筆手續費，換來的是對地址的確認。
• 收款後，自己開啟區塊瀏覽器查一查交易和確認數，不要只聽對方說「已經轉了」。

比特幣的設計初衷，就是讓每個人都可以不依賴任何人的說法，自己去查、自己去核實。保管它也是一樣。

如果你發現本文有任何不準確的地方，請寫信到 editorialoffice@btc.com。