作者：閃電HSL

硬體錢包又出大事了，Ledger 錢包有經銷商賣出的硬體錢包被人為植入晶片，可以偷幣。有人發 X 帖子（注意不是官方說的）說是在 Ledger 螢幕下面藏著一塊電路板，能在你抄寫助記詞的時候把它偷走、發出去。

現在據說被偷的金額超過了 9000 萬 U 了，涉及 300 多個錢包。

很久以前，我就寫過不看好硬體錢包的文章，《使用專用的 iPhone+ 錢包 App 比使用硬體錢包好》。

當時那篇我覺得：一台專用的 iPhone，裝一個錢包 App，安全性足夠了。

但現在我覺得不夠了。AI 太強大了。攻擊者手裡的工具多了：釣魚頁做得更像，假客服說得更像，騙局可以一人一樣地批量定製，那些我們看不懂的 0day 漏洞，都能被 AI 放大威脅，更多我們普通人根本想不明白的攻擊都被 AI 放大。

但我們也可以用 AI 來加強我們的防禦。

一、用多簽，鑰匙分在不同設備、不同錢包裡

先還是否定幾年前我說一台設備就夠的觀點，我覺得現在還是要用多台設備搞多簽才夠安全，單點被突破的風險還是太大了，哪怕是你天天關機，只是用的時候才開機。

對於需要經常動的幣，還是用多簽吧。多買一個設備，多管幾個私鑰，安全就多幾份。起碼得 2-of-3 吧。

以太坊等 EVM 系有 safe.global，好用的很。一台 iPhone 裝上一個錢包 App，頂一把私鑰，一台 Mac 裝上 Chrome+ 插件錢包，頂第二把私鑰，第三把私鑰在 iPhone 上生成備份好刪除掉。

這樣除非你的 iPhone 和 Mac 同時出事，這樣就安全好多。

比特幣這種長年都不需要動的東西，也不需要上什麼網站，搞什麼 DeFi，唯一的用處就是去交易所充值提現。我感覺可以不用多個設備多簽。

我感覺這個辦法已經足夠安全了，使用 Bitcoin Core 節點錢包，買一台專門的 MacBook 安裝 Bitcoin Core，再加一塊 2 TB 的硬碟來下載區塊數據。風險已經可以降到很低很低了，因為比特幣太簡單了，攻擊點很小。

雖然 BTC 也有多簽錢包，但我總感覺品牌度不夠，比特幣腳本原生自帶的多簽方案又需要太多的技術門檻，搞不好自己的幣都被當成了礦工費了。

重要的是專機專用，別拿日常用的手機電腦管幣。特別是別裝 AI。

下面還是分享下我覺得 AI 在管幣上能幫上什麼忙。

二、讓 AI 幫你出託管方案

投資都是個性化的，託管幣的方案其實也是個性化的。我以前費了牛勁寫過很多自己管理錢包的方案，現在 AI 來了，這些具體的方案感覺真是不值錢了。

託管方案已經不用去找別的文章了，直接跟 AI 聊。

把自己的情況和 AI 講清楚，資產分幾層，哪些常用、哪些幾年不動；多久動一次；用哪些鏈；你能接受多複雜的操作；萬一你出事，家人怎麼接手。

讓它出方案。然後換個角色，讓它扮演一個想偷這筆錢的人，告訴你從哪一環下手最容易。改完再攻，來回幾輪。

我們太信任 AI，可以將電腦完全授權給 AI，所以託管幣的電腦和手機，千萬別裝 AI。這一點 真的要特別注意，AI 太強大了，我們太弱了。

還有，讓 AI 知道我持幣，安全嗎？

我的看法是，比你買硬體錢包時讓經銷商知道，安全得多。經銷商知道你的姓名、電話、住址，還經手了你私鑰出生的那台設備。你一下單，這些就躲不掉。

其實，最大的安全還是沒人知道你持幣。今天這做不到了。交易所知道，賣設備的店知道，鏈上的地址誰都能看。能選的只是：誰知道，知道多少。信 AI，總比信特定的個人強。

三、讓 AI 查網址和 App 的來源

搞幣，總離不開各種網站，特別是搞 DeFi，總有一堆網站要訪問。

我以前的規則是，對於任何網站，都要從三個不同的信息源來驗證域名是否正確。常見的信息源如 ethereum.org/bitcoin.org 這樣的官網和 CMC 收錄了沒；Google 查了沒；x.com 查過了沒；問過真正信得過的朋友沒。

現在好了，有 AI 了，問過 AI 沒？

檢驗域名這種，AI 太擅長了，而且用免費的，Gemini，ChatGPT,Grok，豆包，分別問一次，這可以作為重要的核查方式之一。最好是用收費的，並且將推理強度直接拉到最高去問。

App 也一樣。下載錢包 App 前，把 App Store 的頁面截圖發給 AI，AI 給你檢驗的明明白白的。像 Chrome 的插件錢包也一樣要讓 AI 檢查一遍。

問 AI 的具體問法也簡單的要死，你就問它是不是正規的。我現在點任何新域名，下載新的 App，都會問 AI 一遍，這玩意是正規的嗎。

四、簽名之前，拍照給 AI

這是我這次最想分享的一條。

其實，現在對於大多數普通交易，如轉幣、授權、和主流合約交互，等的交易，MetaMask 在簽名界面裡都會展示交易具體含義，你簽名之前認真讀，就能明白這次簽名前後你的錢包會有什麼變化。

類似於 to、value、data、nonce 這些字段，現在的錢包都解釋的很好。

幾年前可沒這麼好命，那時候的錢包界面在簽名那一個動作界面裡能看到的都是一串一堆 00、fff、1234 這樣的亂七八糟的字符。

當年有一個 4byte.directory 裡的網站，我老去那裡粘貼交易簽名內容，查看交易發生了什麼。

如果你現在還是不是很清楚什麼叫交易簽名，看不懂這些簽名內容，不放心你的交易，那現在有 AI 了，AI 可以教會你看這些。

在簽名前的那個錢包彈出的界面，拍照或截圖給 AI 讀，放心，這個界面沒有私鑰，沒有助記詞，這個界面裡的內容在你點完確認後就會全網公開。AI 的解讀，會清晰告訴你，你簽名後你的交易會發生什麼。你就知道你是不是被釣魚了。

我覺得，拿一個測試錢包，完整的讓 AI 給你解讀你操作的每一步界面，真的大有好處。也不要直接在真實的生產當中讓 AI 讀你的每一個截圖，我說的只是測試錢包，先用 AI 學會來讀錢包各種操作的具體含義。

在真實的生產當中，不要在錢包所在手機和電腦安裝 AI，如果非要讓 AI 解讀你的交易簽名內容，請用拍照的方式。

在使用 Safe 錢包時，Safe 錢包本身會做很多交易內容的解釋，但到了 MetaMask 簽名階段，交易信息又不清楚了，如果你害怕，就可以將那一堆 00、fff 什麼的內容，這些內容是可以發給 AI 解讀的，一解讀你就知道你的交易簽後會發生什麼了。

用 safe 時，Safe 錢包本身對交易的解釋不是最終的，MetaMask 簽名那個界面的解釋才是最終的，Bybit 那一筆被盜就是 safe 解釋頁面就是被篡改的，所以一定要以 MetaMask 彈窗的交易字段解釋為準。

五、讓 AI 替你盯安全警告

還有一個有 AI 後可以做的事，讓 AI 盯著你關心的硬體、軟體、合約、平台是否有漏洞報告和安全公告。

現在 Grok bot 可以完美監控 x.com，你可以將你關心的 x.com 賬號讓 Grok bot 監控起來，給 Grok bot 一組 X 賬號，如 MetaMask、慢霧、Lido、……讓 Grok bot 盯著它們是否發布了安全相關的帖子，如果有給你發郵件。

另外，如果真收到警告，自己去官方渠道核實，別點郵件和帖子裡的鏈接。小心別釣魚。當然派一個 AI 去核實也是可以的。

你做重大財務轉賬時，先讀一下這個郵箱。

結尾

我覺得 AI 最終會是向善，讓我們的網絡環境變得更安全。