截止到 2022 年 2 月，根據 Coinmarketcap 統計的數據，所有 NFT 項目日均總市值為 2400 萬美元，日交易總額為 2700 萬美元。由於涉及到大量的貨幣資產，所以保護貨幣資產安全就顯得至關重要。越來越多的詐騙者伺機而動，並不斷的研究新的方法騙取那些沒有經驗的 NFT 買家。而大多數的硬件錢包只是為數字貨幣用戶的資產安全提供了必要的保護，但是為什麼沒有一個硬件錢包同時可以滿足 NFT 用戶的需求呢？在過去的幾個月收到了大量的用戶請求，我們認真考慮後決定，是時候宣布 Keystone 的新功能了！

在 Keystone 上顯示你的 NFT

有許多人喜歡使用 NFT 頭像在網絡中展現自己，因為在這個社區裡，NFT 頭像代表著一種數字身份。那麼為什麼你的硬件錢包不能這樣做呢？硬件錢包可以保護您的助記詞，同樣也應該保護您的錢包可以安全的和其他區塊鏈進行交互。而 NFT 對於助記詞來說也同樣重要， 因此硬件錢包也應該將 NFT 作為需要保護的數字資產，而不僅僅是針對加密貨幣。

Keystone 團隊已經為其設備添加了新的功能，用戶可以在登陸的時候可以通過 Keystone 4英寸屏幕中來展示自己的 NFT 頭像。Twitter 和 Youtube 展示了它是如何在 Keystone 上顯示自己的 NFT。如果您想查看詳細教程，請點擊此頁面來獲取更多信息。

盲簽和 NFT

當然這個簡單的選項並不能成為那些擁有稀有 NFT 的用戶的最佳選擇，而且對於那些知道的更多的人來說，Keystone 想要被別人認為是最好的硬件錢包，需要的不僅僅是視覺上效果。 Keystone 硬件錢包還內置了一些功能，可以保護您的 NFT 資產受到黑客攻擊、詐騙或者人為過失。其中盲簽是一個由簽名過程中引申出的風險點，用戶在區塊鏈是上簽署交易時，會盲目信任智能合約或配套應用程序，從而導致加密貨幣和 NFT 資產的丟失，這已經困擾了這個行業很長時間。雖然安裝了軟件錢包的電腦可能會被入侵，智能合約可能會被篡改，但是你的硬件錢包是最後一道防線，絕不能允許攻擊者得逞。

與 NFT 交互時，硬件錢包之間的安全性差異是什麼？ 哪些硬件錢包更適合擁有 NFT 的人？ 讓我們深入研究一下主流的硬件錢包和 Keystone 硬件錢包的區別。在下面的示例中，我們將演示如何從主流的硬件錢包中轉移著名的“ Board Ape Yacht Club ”系列 NFT。我們可以在第 4 張圖片中清晰的看到，圖片中包含了你發送的地址，但卻沒辦法看到接收的地址是什麼。黑客可以通過這個漏洞入侵你的 MetaMask 錢包來篡改你這筆交易的接收地址，然後你會在簽名的時候，在沒辦法確認接收地址的情況下將這筆交易進行簽名，從而屬於你的 NFT 將會遭到盜取。

如果您之前曾因盲簽引發了黑客的攻擊導致了您的數字資產的丟失，我們表示很遺憾。但您一定聽過這句名言：“The truth will set you free.”，基於這種情況，您一定希望有一個硬件錢包可以解決這種隱患！那麼您可以看看 Keystone 是如何處理 與上述場景完全相同的 NFT 交易。

通過上面的截圖您可以看到，與之前的硬件錢包相比，無論是安全性還是用戶體驗方面來講，兩款錢包的差距都不言而喻。使用 Keystone 硬件錢包進行簽署交易可以清晰的看到發送地址和接收地址，您也可以通過在 TF 卡存儲的 ABI 數據文件中快速地辨別地址的真實性。您在上面的圖片中可以看到，在接收地址後面出現了很突出的藍色字體“Bored Ape Yacht Club”， 並且在交易詳情的界面中，每個部分都以易於閱讀的格式進行排列，因此用戶可以根據這些來確認簽署交易的過程中是否存在惡意行為，避免將您的 NFT 簽署給詐騙犯或黑客。再次倡議，請為您的 NFT 使用最安全的錢包！（有關 Keystone 如何解決 DeFi 項目的盲簽問題，請閱讀下面的博客。）

https://mirror.xyz/keystonecn.eth/mMYDgGAzslblS8Ra1DpnQfOO8MqHNpARUGBFfu7Anmw

寫在最後

Keystone 團隊一直在傾聽每個用戶的聲音。截止目前，Keystone 硬件設備僅支持以太坊上的 NFT 項目，其他鏈上支持 NFT 的工作也逐步在進行。不侷限於此，我們還在考慮為 Keystone 增加一個畫廊模式的功能，團隊將通過 Smart Contract metadata registry 與 NFT 項目各方保持聯繫，以便於用戶和開發人員都可以從他額外提供的安全性中獲益，從而最大限度的減少詐騙和黑客攻擊造成的損失。

如果有 NFT 項目方有興趣與我們合作，請隨時在 Twitter 上與我們聯繫。我們正在積極尋求像在 Opensea 或 Lookrare 這樣的 NFT 平台有項目的合作夥伴。通過 Smart Contract metadata registry 進行合作來進一步解決 NFT 領域的盲簽問題。

關於 Keystone

Keystone 是一款通過二維碼的數據傳輸實現了100% 物理隔絕的硬件錢包。這款錢包設計之初就是為了最大限度地提高攻擊成本、最大限度地減少信任危機、預防潛在的人為過失、避免單點故障並提高可操作性。目前 Keystone 硬件錢包已經可以和 MetaMask Extension（瀏覽器插件） 和 MetaMask Mobile（手機 APP 端） 實現交互。

以下是相關鏈接：

MetaMask 公告

Keystone 公告

MetaMask Extension 教程

MetaMask Mobile 教程

官方網站 ｜Twitter（中文）｜Twitter（英文）｜Discord ｜Telegram｜GitHub

一切加密的本質

那麼比特幣是如何利用自然屆中无边无序的随机性，来有序地保護信息，防止信息洩露的呢？答案就在非對稱加密算法中，這是一个通過私鑰派生公鑰的过程。對於此加密算法的數學原理我們不做深入研究，這裡的關鍵字是“非對稱”。簡單地說，就是所有人都能知道驗證某筆交易所需的公鑰，而私鑰只有自己知道。由於公鑰生成過程單向不可逆，所以隨機性的力量主要被用來隱藏私鑰。而在區塊鏈中，除了私鑰，其他都是對外公開透明的。也就是說，加密貨幣的安全性其實完全依賴與私鑰，因為真隨機性使私鑰幾乎無法被推測。

宇宙尺度的隨機性

比特幣的私鑰實際上是一組 256 位字節的隨機數，理論上講，私鑰總共大約有2256種可能性，這個數大約是 1077。與之對比，目前可見的宇宙，總共的原子數大概是 1080 ，如此龐大的隨機性，意味著私鑰被人為推測出來或者發生碰撞的概率幾乎為零。有一種攻擊叫“暴力攻擊”，攻擊者試圖通過不同的組合去推測私鑰，每多猜對一個數字，攻擊成本就會呈指數上升，當然這也取決於生成隨機數的隨機性來源。而比特幣就是利用物理熵這種自然的力量生成私鑰，利用幾乎無窮的隨機性，使“暴力攻擊”根本不可能完成。

俗話說能力越大，責任越大，那麼為了達到真正意义上随机性，您就必須確保隨機性的來源足夠強大。由此看來，選擇真隨機數生成器（TRNG）還是偽隨機數生成器（PRNG）就變得至關重要。

TRNG 和 PRNG

模擬自然界中某一種強大的力量並非易事，也沒有哪一種硬件設備能產生真正的物理熵源。可是，不同程度的隨機性在安全性方面有著天壤之別。

目前还無法證明計算機能非常安全地產生隨機数。PRNG，通常被稱為偽隨機數生成器，它主要是基於常规算法運行，所以它們對真實隨機事件的模擬往往會得到相同的計算結果，這種隨機性甚至还不如投擲骰子！由於這些軟件程序的缺陷頻繁顯現，所以，關於密碼安全的 PRNG 是否可以存在，數學界一直存在爭議。

當今世界使用的支付系統——銀行、信用卡公司和POS 機，使用的都是內置安全芯片的 TRNG （真隨機數生成器），它是一種使用物理過程而不是計算機程序來生成隨機數的設備。這樣的設備通常是基於一些能生成低等級、統計學上隨機的「噪聲」信號这种微觀現象，如熱力學噪聲、光電效應和量子現象等来產生随机性。這些物理過程在理論上是完全不可預測的，並且已經得到了實驗的證實。Keystone 使用的安全芯片中，隨機數的生成來自於 4 個物理生成源，每一個物理生成源都具有不可預測性，4 個源疊加，不可預測性得到進一步強化。

不要在選擇隨機性來源上冒險

當您為您的加密貨幣選擇冷儲存方式時，請務必確保它能讓您擁有私鑰的絕對所屬權。Keystone 內置的安全芯片就利用了物理熵這種自然力量保證了這一點。我們建議您選擇像 Keystone 這樣內置安全芯片的硬件錢包，並且每個加密貨幣的持有者都值得擁有這樣一項價值 799 人民幣的安全技術。

據我們所知，發布這篇文章的時候，Keystone 是唯一一家內置安全芯片的開源硬件錢包公司（如果還有人實現了硬件錢包安全芯片的開源，請告訴我們）。您可以查看我們的開源固件代碼，了解生成私鑰時，安全芯片如何調用函數來觸發 TRNG，您也可以查看安全芯片如何存儲私鑰、簽署交易等。同時請您放心，私鑰會存儲在安全芯片中永不離開。其他硬件錢包如 ColdCard 或者 Ledger 也有安全芯片，但请注意，他們並不開源。請繼續閱讀關於安全芯片系列的第二篇文章，詳細了解安全芯片如何保護您免受旁路攻擊。

深冷存儲的實踐

深冷存儲的方式對於那些熱衷於定投數字貨幣或者將數字貨幣存到某個地址幾乎不再轉出的人來說很受歡迎。對於這種投資者來說，只需要將地址牢牢的掌握在自己手裡，而那些用來生成地址的應用程序則早就可以刪除掉。

其實有很多方法可以存儲您的助記詞，通常來說，增加一些複雜性對保護您的數字資產安非常重要，但存儲方案越複雜，一些人為因素導致的錯誤也會越明顯。所以選擇一種適合自己的存儲方法很重要。

方案一：

將助記詞抄到一張紙上，但是紙張很容易遭到丟失和破壞，更好的辦法就是使用金屬類的存儲產品來存儲您的助記詞。

方案二：

如果您只將助記詞保存到一個地方，會非常容易在火災或洪水等災難種丟失。但是如果您備份多份助記詞並進行異地保存，那麼遭到意外破壞的概率則會小的多。

假設助記詞保存在一個地方被盜的概率是 1%，發生自然災害損毀的概率也是 1%。那麼，如果五份助記詞異地保存，“被盜”造成損失的概率是會高於只放置一處而被盜的概率，同樣某一處“被毀”（被自然災害損毀）的概率也會遠低於五處同時被毀的概率。我們可以得到下表

通過簡單的概率計算，可以看到，方案二很大程度上避免了自然災害損毀的概率。但是被盜的風險提升了 5 倍！

方案三：

Shamir’s Secret Sharing Scheme（下文簡稱 SSSS ）是 Adi Shamir 創建的分片加密算法，解決了將助記詞同時存放在多個地方存在的風險，它是通過將助記詞分為多個分片，使每個參與者都有自己各自的分片，若想重新恢復原始助記詞，只需要特定數量的分片，但是這個所需分片的數量需要小於等於總數。比如，一共分為5個分片，其中任意3個分片才可以恢復原始助記詞。所以通過 SSSS 方案可以發現，就算其中某一個分片遭到了單點攻擊被盜取，它也無法恢復原始的助記詞，這個方案可以大大降低丟失助記詞的可能性。

從統計結果上看，雖然 SSSS 方案在受到災難損毀的概率上來看要高於將助記詞簡單的放置到五個地方進行保存，但是它會更平衡遭到被盜或被損毀的概率。

方案四：

SSSS 方案其實存在一個誤區，主要是因為它基於一種假設，在某一處備份被毀之後，資產擁有者能夠立即感知到並且轉移資產。如果資產擁有者沒有感知能力，那資產被毀的概率就會大大提升。

由於 SSSS 生成的分片存在著損失的風險，最好是將其放到線下銀行保險櫃。但是也有傳言說，當倫敦銀行開始提供離線密鑰存儲解決方案時，深冷存儲方案就已經隨之湧現出來。這些解決方案備份在多個未公開的位置——大概率在他們的老學校的金庫中。然而，這些專業服務勢必會收取大量的費用，倫敦銀行希望收取每年 2% 的年費來承擔任何資產損失。同時，若將分片分發給朋友們保存，也會存在這些朋友共同串通起來恢復助記詞從而瓜分您的資產的風險。

安全專家 Lance R. Vick 告知了我們他的解決方法，如下所示：

1. AES 加密助記詞

2. 通過 SSSS 方案將 AES 解密密鑰進行分片保管，盡量分布在全球不同法律管轄地方的朋友之間。

3. 將 AES 加密的結果植入到皮膚下面。

Lance 使用 AES 加密方法對助記詞進行加密，這樣則需要將 SSSS 方案設定的分片數量組合起來並且同時還要擁有 AES 加密結果來獲得完整的助記詞。所以這樣不僅避免了單點故障，即使想串通所有的分片保管者恢復 SSSS 方案加密的部分，它仍然需要植入在 Lance 皮膚下面的 AES 加密結果才能恢復私鑰。當然這種植入皮膚並通過世界各地的朋友來保管的方案，並不適用於所有人，也很少有人有這種資源或者知識儲備能夠做到這一點。

普通用戶如何更有效的使用 SSSS 方案？

任何沒有編程基礎的人都可以通過這個在線工具來進行 SSSS。與其他 SSSS 工具一樣，您所需加密的信息會被分成 n 個分片，恢復加密的信息需要的分片閾值 k ，由用戶自行決定。請注意，最好將此類工具先進行下載然後離線使用，最好不要直接使用 Web 版本。

但是，使用 SSSS 方法線下將助記詞的字符串進行分片，並將這些字符串按照地理位置隨機分佈，這種方法對於普通用戶來說，會使備份資產變得更加困難，並且反而更容易出現問題。所以，我們可以考慮將24個單詞的助記詞手動分成三片，每片包含16個單詞，這樣的話每片都缺少了包含在其他分片中的8個單詞。相對來說，16個單詞可以更容易的寫在紙上備份，但我們同樣也建議將這些單詞存儲在金屬板上提高持久性。這樣分片就可以交給您的長輩來保管，也可以將它放到安全的地方存放。

那麼，如果其中一個分片被惡意攻擊的人獲取了，要是再想暴力破解剩餘的8個單詞，他們需要為此付出多少？

最新的 Antminer S19 Pro 挖礦設備，其算力為 110 TH/s，功耗為 3250W。這種礦機若在每千瓦時 5 或 6 美分的及其便宜的電費下，運行 2⁸⁸  哈希計算將花費大概 1.27億美元才能暴力破解其餘的8個助記詞（2⁸⁸/110/1,000,000,000,000/3600*0.05*3.25）。而且這裡使用的計算方法還是基於黑客擁有了可以對熵進行校驗求和的第24個單詞。如果黑客沒有擁有第二十四個單詞，那麼暴力破解剩餘 8 個助記詞的難度將會成倍增加，甚至 ASIC 礦工也沒辦法做到。

除非您要存儲超過 1.27 億美元價值的資產，否則就算黑客或作惡人員拿到了其中一個分片，他們想要破解另一個分片也是非常不划算的。使用這種存儲方式，概率圖如下所示：

對於 12 個助記詞來說，這種方法並不是特別安全，如果黑客獲得了其中一個由 8 個助記詞組成的分片，那麼他只需要破解 4 個單詞就可以將你的助記詞恢復，而 Antminer S9 Pro 只需要 0.16 秒（2⁴⁴/110/1,000,000,000,000）就可以完成這個操作。

永遠不要忽視您的助記詞

深冷存儲這種方式非常適合保護您的資產免受在線危險，但是如果您平常不注意對助記詞加以保管，那麼您仍然可能會丟失您的資產。雖然深冷存儲通常被認為是機構、精英投資者或像 Lance 這樣的網絡專業人士的安全解決方案，但通過我們上面的展示，實際上我們每個人都可以使用這種安全解決方案來保護我們的種子私鑰。

有一篇文章推測，粉塵攻擊可能是挫傷交易所數據分析工具的一種方式。文章中提到通過“非法資產對每個地址進行粉塵攻擊，從而玷污幾乎每個用戶的聲譽”。然而，还沒有足夠的證據證明粉塵攻擊能成功擾亂交易所，使貨幣受到“污染”。粉塵攻擊的目標應該是獲取持有大量加密貨幣的個人的隱私或者公司的隱私。

幣安在這篇文章中對粉塵攻擊做了解釋，“一旦粉塵被觸發，攻擊者就可以根據鏈上記錄追溯到與目標地址關聯的其他地址，最終通過綜合分析這些地址信息，確認目標地址背後的公司或個人。一旦成功，攻擊者可能會利用獲取的用戶隱私對其進行騷擾、恐嚇、釣魚攻擊、威脅攻擊甚至是綁架”。

但是，區塊鏈本身就是透明公開的，那黑客為什麼要實施粉塵攻擊？他又可以通過粉塵攻擊獲取哪些從區塊鏈中看不到的信息呢？

從 HD 錢包（分層確定性錢包）以及 UTXO（未花費的交易輸出）的邏輯定義中就能找到答案。本質上，錢包地址中每一筆沒有被花費的金額就叫作「UTXO」，而粉塵攻擊只針對有 UTXO 概念的幣種進行。

舉個例子，有個比特幣愛好者叫大黃，他在 HD 錢包的一個 BTC 地址上存了 500 BTC ，其他地址上還有一些較小數額的 BTC ，用來交易。

（ HD 錢包實際是很復雜的，每個地址下面都有很多不同數額的 UTXO ，為了清楚起見，我們將其簡化）

情況1：如果大黃要發送 3.2 BTC 到幣安，（UTXO-2）+（UTXO-4）= 3.5 BTC 將被發送。（除了要發送的 3.2 BTC ，還需考慮交易費）

情況2：如果大黃要發送 1.35 BTC 到 Amazon ，（UTXO-5）+（UTXO-7）= 1.6 BTC 將被發送。

情況3：如果大黃要發送 1.2 BTC 給一個朋友，（UTXO-6）+（UTXO-8）= 1.4 BTC 將被發送。

以上所有交易中，交易的找零（找零 = 實際發送的 UTXO 總和 -（實際發送需求+交易費））將會返回到大黃 HD 錢包裡的新地址上。

注意，只有最接近发送金额的 UTXO 会被选中发送。

如果大黃想要交易的始終都是 3.2，1.35，1.2 或者其他更小數額的 BTC ，那麼儲存500 BTC 的 UTXO-1 將永遠不會被花費。因此地址-1 不會被關聯到其他已經被花費掉的 UTXO 地址中，大黃也就不會暴露自己到底有多少資產。

接下來粉塵攻擊整裝待發。有個叫小黑的人，盯上了大黃存有 500 BTC 的地址-1，想要找到大黃的真實身份，於是她往地址-1發了一筆粉塵交易（0.000005 BTC）。請注意：即使是粉塵，它也是一筆 UTXO ！之所以稱為粉塵，是因為它的金額小到幾乎無法察覺，甚至可能比最低的交易費還低。這個小黑可能是政府機構，也可能是專門查找數字貨幣持有者身份的從業人員者，甚至可能是個黑客。

大黃沒有察覺到粉塵交易，並繼續與幣安交易、購物、向朋友支付數字貨幣。只要粉塵 UTXO-9 沒有被選中發送，實際上沒有什麽大問題。可是不同的 HD 錢包是可以定義不同的 UTXO 排序規則的，一旦粉塵 UTXO-9 隨某筆交易被選中並廣播到區塊鏈，那它將會暴露地址-1。

更可怕的是，小黑能夠跟蹤與粉塵地址-1 相關的所有地址，而這個地址上正儲存著 500 BTC 。假設粉塵 UTXO-9 和地址-4 的 UTXO-5 一起被選中發送到交易所，那麽小黑就能夠推斷，地址-4 的所有活動都是大黃所為，然後小黑可以從地址-4 在鏈上的所有歷史交易、訪問的商店、付款記錄、與幣安的交易記錄等信息中確認大黃的真實身份。

如果小黑是一名黑客，事情會更加糟糕。黑客們可以利用粉塵攻擊來篩選受害對象，然後對其進行釣魚攻擊以及網絡勒索。

威脅的新概念

比幣安提出的網絡犯罪威脅更大的是利用粉塵攻擊確定目標，然後實施 5 美元扳手攻擊，這種攻擊類型被廣泛認為是最難防範的。如果攻擊者已經知道了您有多少 BTC ，那麼 5 美元扳手攻擊將會給您帶來巨大損失。這就是假設發生粉塵攻擊後最糟糕的結果。

如果有人能知道 BTC 持有者的真實身份，那麼 5 美元扳手攻擊很可能會把您當作攻擊目標，最終是否實施攻擊取決於您儲存的 BTC 數量。有一段時間，加密安全領域的一些人聲稱，購買硬件錢包無異於向任何能夠獲取您的交付信息的人發送自己的信息。當然，如果有人用搶指著你，再專業的硬件也無法防禦。

據我們從媒體報導中了解，大多數 5 美元扳手攻擊都是通過口耳相傳的信息尋找攻擊目標。比如，有人在聚會上喝醉了，開始吹噓自己手裡有多少 BTC ，這就給了攻擊者可乘之機。這種暴露自己信息的方式非常原始，這也可能是迄今為止沒有聽到大量 5 美元扳手攻擊故事的原因，而其他類型的網絡犯罪活動（例如黑客攻擊某交易所）卻日益激增。但是，當粉塵攻擊成為 5 美元扳手攻擊的先行者，威脅似乎變得大了起來，即大量屯幣者會在受到粉塵攻擊後暴露自己的 BTC 數量，這會讓消息靈通的攻擊者開始實施 5 美元扳手攻擊，不過我們目前还未遇到過這樣的情況。

還應該註意的是，如果黑客是一名政府機關工作人員，他可以利用粉塵攻擊很輕松的知道可疑賬戶背後操控人員的真實身份。他所要做的就是在確認用戶身份後，聯系交易所或直接發送傳票傳喚用戶乖乖配合調查。眾所周知，大多數字貨幣交易所通過 KYC 認證環節收集用戶資料，所以當用戶在個人錢包和交易所賬戶間轉賬時，他們就已經處於非匿名的危險中了。

如何保護自己的身份信息？

粉塵攻擊的對象大多是個人錢包持有者。因此，您可以在手機上啟用錢包應用程序的推送通知，平常多多留意一些不明收入。某些錢包允許用戶把小數額的不明轉入標記為粉塵攻擊，當被標記後，這個粉塵 UTXO 將永遠不會被選中進行交易。

那麼如果您發現您已經遭到了粉塵攻擊使該怎麼辦？您需要將想要隱藏的大額 UTXO 单独转到另一个新的 HD 钱包。如果大額 UTXO 數量比較多，那就需要為每一個大額 UTXO 創建單獨的錢包。為了避免粉塵攻擊再次發生，您可以將大額 UTXO 儲存在 Bitcoin Core 錢包中（在此處下載），並學習使用如何在構建交易時手動選擇 UTXO ，這樣可以有效篩除粉塵。同時建議您在找到安全花費 UTXO 方法之前不要使用此 HD 錢包。

但是， TRNG（真隨機數生成器）也有一些缺點。TRNG 是由安全芯片供應商創建的專有代碼執行，也就是說，用戶在生成真隨機數時，需要去信任這個供應商是沒有問題的。 

對於一些加密货币的持有者來講，這種盲目的信任是不能接受的。所以這就是為什麼像 ColdCard 和 Keystone 這些品牌的硬件錢包可以允許用戶使用投擲骰子的方式生成自己的隨機數。您可以查看這篇教程了解如何用 Keystone 通過投擲骰子創建助記詞。

“Don’t trust, verify!”不僅僅是一句口號，而是我們應該努力堅持的標準，這也與 Keystone 團隊產生了強烈共鳴，我們會以盡可能高的產品透明度來實現這一目標。之前我們已經將操作系統和安全芯片固件代碼進行開源，在未來，我們會逐步實現“未驗證，勿相信”這一終極目標。

資深技術用戶可以在我們的 Github 中驗證我們的代碼。對於非技術用戶，可以使用 Ian Coleman 工具去驗證結果。

下面詳細介紹驗證過程：

假設您投擲了 50 次骰子，然後得到了一串數字：

51236422654236551235532545533355551153256611442361

將這些數字輸入 Keystone ，就會生成一套 24 位的助記詞。

請注意，将投擲产生的 50 个数字转换成六进制数，相當於 128 位字节。如果您投擲次數少於 50 ，隨機性可能會減弱，導致生成的助記詞安全係數較低。保險起見，我們更建議投擲 100 次。

在 Ian Coleman 的密鑰生成工具中，您可以打開“顯示熵詳細信息” （Show entropy details）。

然後在頁面的右側選擇 Dice [1-6] ，在助記詞長度這一列選擇 24 words 。然後在“熵”這一列輸入您剛在 Keystone 中輸入的數字。

然後您將得到一組助記詞，這與在 Keystone 上用骰子生成的助記詞完全相同。 如下所示：

boost nephew sea noise apology three grocery alter season gym leaf token defense today vacuum purse gate swear want road opera fine flag twice

建议您最好離線使用 Ian Coleman 網絡工具去驗證骰子助記詞，避免有潛在的惡意軟件控制你的鍵盤或對您的計算機實施其他網絡攻擊。您可以在 Ian Coleman 頁面的底部，找到離線使用指南。

這是“Don't trust, verify!”系列文章的第一篇。接下來我們还會講如何驗證固件升級包。敬請期待。

助记词的风险模型

在使用分片助記詞之前，我們先研究一下助记词的風險模型，以帮助您更好的决策是否要使用分片助记词这个功能。

威脅助記詞安全性的 3 種場景：

1. 記憶力衰退，如果您是靠記憶力保存助記詞（俗稱“腦錢包”）；

2. 助記詞備份被偷或被搶；

3. 助記詞備份因重大事故或自然災害比如大火，洪水受損。還有一些其他的場景，例如，被狗吃掉，被咖啡污漬污染，甚至發生地震導致房子倒塌等也會導致助記詞備份受到損壞。

對於第 1 種場景來講 ，我們強烈講義不要將“腦錢包”作為存儲助記詞的唯一方法，這種方法的不確定風險特別高。比如，創傷性腦損傷可能會導致失憶，衰老也會導致記憶力減退，阿爾茲海默氏症會導致無法記住事物。另外，隨著時間的流逝，許多存在腦海中的記憶片段也會自然而然地被遺忘。

對於第 2 種場景來講 ，您應該始終牢記助記詞被偷或被盜往往不是由一個局外人來完成，反而是親屬或者當時幫您存儲助記詞的這種身邊的人更容易去做這種事情。所以您一定要考慮持有您助記詞備份的人是否值得信任。

對於第 3 種場景來講 ，有一個非常常見的解決方法就是將助記詞進行簡單的複製，然後將其保存在多個不同的地方，以此來避免單點失敗，但是這又會增加我們所說的第 2 種風險，如果其中有一個地方的助記詞被偷或被盜，難麼這上面的資產就不再安全。這篇文章從統計的角度對丟失助記詞的概率做了一些簡單的數字計算。

為了找到比這種簡單複製更好的解決方案，我們引入了分片助記詞（Shamir Backup）功能。

什麼是分片助記詞（Shamir Backup）？

分片助記詞功能允許將種子助記詞拆分成多片，然後您可以指定恢復錢包所需的片數。最小的組合是 2 / 2 ，最大的是 16 / 16 。当您想要恢復錢包时，您需要分别導入規定片數的分片助記詞。看起来這個過程比允許即刻簽名的多簽錢包还要複雜，但從安全角度考慮，它甚至比多重签名更安全。比如您設置了一個 3 / 5 的分片助記詞，即使丟失了 2 片，您仍然可以用剩餘的 3 片來恢復您的錢包。

分片助記詞表面上看起來和多簽錢包有些相似，但無需使用它來簽署交易，您只需指定恢復錢包所需的分片數量即可。通過這種方式，您可以無壓力的分發您的助記詞分片，而無需考慮單點失敗的風險。

分片助記詞（Shamir Backup）的缺點

世界上沒有絕對的安全，當然也沒有完美的解決方案可以存儲您的助記詞。所以分片助記詞也有它的缺點，了解它們可以更好的幫助您決定是否使用此功能去保存助記詞。

1. 有限的錢包支持

Keystone 的分片助記詞功能是依據 SLIP39 協議實現的，在本文發表時，只有 Keystone 和 Trezor 支持這個功能。

這將帶來第一個缺點——如果您的 Keystone 或者 Trezor 無法使用，您將不能用其他品牌的硬件錢包來恢復您的分片助記詞錢包，因為其他錢包不支持分片助記詞的功能，您必須再買一個 Keystone 或者 Trezor 。这样看来，Keystone 或 Trezor 老用戶想要將分片助記詞錢包轉移到另外一個品牌的錢包上，也是不可行的。到目前為止，BIP39 協議生成的助記詞是市場上普遍認可並且被廣泛使用的。

2. 複雜性是安全的敵人

有句老話是這樣說的“複雜性是安全的敵人”，對每個人來說，這裡的複雜性其實都是一個相對的概念。作為一個硬件錢包開發者，我們的工作是創造友好的用戶體驗，降低複雜性，使所有人都能更方便地使用它。但是如果您不清楚分片助记词的功能原理，那就最好不要使用它，您可以使用由 BIP39 這種您熟知的協議生成的助記詞錢包。

首次使用分片助記詞（Shamir Backup）的建議

對於首次使用分片助記詞的用戶來說，有一些建議給您：

實踐出真知

如上所述，像 Keystone 和 Trezor 這樣的硬件錢包，即使提供了设置和恢復分片助記詞的無縫體驗，但它在一定程度上還是增加了复杂性。強烈建議您在將大量數字資產轉移到分片助記詞錢包之前，多實踐幾次，避免出現操作失誤。

Keystone 的單幣種固件版本，支持比特幣測試網，所以您可以先用測試幣來測試一下這個功能，然後再進行實際操作。

定期檢查您的助記詞

如上所述，助記詞可能受到的威脅要麼是被重大事故或自然災害損壞要麼是被盜竊。所以分片助記詞與非分片助記詞相比，即使它在安全性方面做了更好的平衡，您還是需要對其進行定期檢查。

金屬比紙好

如果發生火災，水災，地震等災害，或者僅僅是在潮濕的自然環境下，將助記詞存儲在金屬板上肯定比寫在紙上更安全，所以請選擇更安全的方式去保存助記詞。

Keystone 助記板就是為解決這個問題而設計的。我們在助記板上还設計了一個小孔，以便您可以用掛鎖將其鎖定。如果您選擇了一個好的掛鎖，它將會進一步增加助記詞的安全性。與將助記詞寫在紙上相比，用金屬助記板儲存助記詞，即使被篡改也更容易識別。

謹慎選擇分片持有人

當您想要請人幫您保存分片助記詞的其中某個分片時，請謹慎選擇您的保管者。通常最好選擇受法律約束的家庭成員或者指定的法人代表。（這不是財務或法律建議，如果您想聘請保管人保管分片助記詞，請咨詢法律專業人士）

當您將分片分享給家人時，請務必讓他們知道安全保存這個分片的重要性，要像儲存他們自己的秘密一樣，切勿丟失或意外損壞。優秀的保管人可能會將其存放在辦公室的保險箱中，或者您也可以嘗試將其放在銀行的保險庫中。

另外，還有一點很重要，保管分片的人不能知道其他的保管者是誰，因為他們可能會串通起來盜取您的資產。請對他們各自的身份進行保密，同時保密能恢復錢包的助記詞片數。

考慮繼承人

當您計畫使用分片助記詞時，最好讓您的繼承人也知道如何使用它們，以及將它們放在何處或分配給了哪些保管者。這樣的話，萬一發生任何意外，您的繼承人能夠在緊急情況下使用您的資產。

寫在最後

Keystone 始終將您數字資產的安全性放在首位。我們將繼續努力，為您的資產安全提供更好的解決方案。我們的使命就是為用戶提供最先進的安全解決方案，以保障他們的財富安全。

最後，感謝SatoshiLabs對這個領域的貢獻。同時也歡迎各位同行一起制定共同的標準，最終讓每位用户都可以利用這些標準最大化地保護自己的數字資產。

“您的智能手機有可能是您所擁有的設備中安全性最高的。現在的智能手機只要您保持系統更新，並且設置了密碼，下載軟件的的時候保持警惕，那麼它的操作系統將會非常安全。而且智能手機比筆記本電腦和台式電腦都要表現的更加安全。”

- Andreas Antonopoulos, Bitcoin Q/A

手機應用商店

移動端應用程序之所以安全，是因為蘋果和谷歌商店在上架移動端應用之前會對其代碼進行審核，主要審核兩個地方：移動端應用是否能够访问操作系统；移動端應用是否能够访问其他移動端應用的数据。默認情況下，所有的應用程序都無法訪問操作系統或其他應用程序，除非他們申請並被授權。如果您的 iPhone 沒有越獄，您就無法下載尚未獲准在應用商店上發布的應用程序。这样保证了您下载的软件不会在系统中“越权”去访问甚至攻击您的移動端錢包。而桌面端的操作系统一般没有这道屏障，它是一个更为开放的环境，甚至系统中既有的原生安全“屏障”也可以通过命令行工具等简单绕开。對於安卓手機來講，就算沒有越獄這個說法，它仍然可以下載不在 Google 應用商店中的應用程序。但是如果您只從 Google 應用商店下載應用程序，那麼您的智能手機已經比別人更加安全。

對於應用商店來說，您不得不在應用商店手動搜索來下載應用程序，而若在桌面端下載應用程序，除非您下載了特別強大的殺毒軟件，否則很有可能在您不知情的情況下下載了惡意代碼。Android 和 iOS 系統都需要應用程序簽名驗證，來確保所有的應用程序在下載或更新時都只能通過發布者對應用程序進行簽名。雖然手機上的應用程序在更新時不得不進行簽名驗證，但是在電腦桌面上，用戶卻不需要額外的步驟來對下載的軟件進行簽名驗證。這就意味著，攻擊者可以偽造桌面應用程序，使其看起來和配套應用程序一樣，在用戶下載時，無需通過發布者驗證就植入到計算機中。

沙盒

沙盒是安卓和 iOS 系統要求應用程序採用的一種安全機制。根據安卓開源項目的描述，沙盒會限制權限，“默認情況下，應用之間無法交互，並且對操作系統的訪問權限是有限的。” 即使惡意代碼傳入了越獄或 root 過的設備，攻擊的可能性也會受到嚴重限制，因為只要是從官方應用商店下載的應用，都會在沙盒環境隔離運行。雖然您不會讓自己面臨在 root 或越獄設備上運行配套應用程序這種不必要的風險場景，但就算這樣做也要比不內置沙盒安全機制的桌面端配套應用程序安全。

通常 Android 和 iOS 系統默認啟用文件加密，MacOS 系統同樣可以，但是在 Windows 上，默認情況下是不啟用 Bitlocker 的。而且電腦端通常更不嚴謹，可以允許用戶更改系統設置並繞過安全機制，從而為黑客打開了方便之門。

硬件層保護

通常安卓和蘋果系統都具有內置加密硬件芯片，其功能類似於安全芯片，主要用來進行安全驗證。蘋果公司將其芯片稱作 Secure Enclave，Android 也同樣有可信執行環境（TEE），兩者都是將硬件和設備的其餘部分分開。加密芯片的作用主要是用來生成密鑰或執行加密操作，例如，登陸銀行應用程序或者授權錢包配套應用程序交易。Secure Enclave 最初是為移動銀行在安全層面進行的設計，在與硬件錢包配套應用程序結合使用時效果會更好，可以幫助您硬件錢包添加額外的加密安全保護層。您可以閱讀關於離線設備這篇文章，來了解為何在移動端設備如此安全的情況下，我們為什麼還需要選擇硬件錢包。      

苹果手机在启动设备时，所有系统固件均需通过验证是来自苹果公司。安卓也有类似的机制，启动时会验证所有执行的代码均来自可信任的来源，例如 OEM 厂商。攻擊者可以通過拆除台式機並將硬盤連結到另一個系統來繞過計算機登錄密碼。但是在手機上無法做到這一點，因為啟動級別驗證會阻止攻擊者把手機芯片取出並連接到另一個系統執行此操作。

手機在被設計之時，是針對單獨用戶使用的，所以這樣將會設計的更加安全。銀行移動端應用程序可以通過指紋掃瞄或者面部 ID 生物識別技術輕鬆驗證個人身份，但是計算機卻無法做到這一點。對於市面上所有設備的安全性來說，人為因素也扮演著非常重要的角色，因為相比手機來講，我們更容易疏忽對計算機的警惕。

Web 端應用程序的缺點

Web 端應用程序具有無法比擬的更大的攻擊面。其中的原因就是，Web 端應用程序數據可能會被垃圾處理器清理，或者網站未啟用 HTTPS，這樣瀏覽器就容易受到中間人攻擊或者泄露數據的安全性問題，並且 Web 端應用程序更容易成為網絡釣魚攻擊的目標。尤其在最近的 Ledger Live 和 之前的 Trezor，在用戶成為網絡釣魚攻擊的目標後，他們不得不警告用戶在下載 Web 端配套應用程序時需要更加謹慎。

配套應用程序應該僅限於移動設備嗎？

雖然僅配套移動端應用程序不是萬能的解決辦法，但是通常來說移動端配套應用程序對於硬件錢包來說是更加安全的。當然在某些層面上，也會存在一些缺陷。例如，由於移動端操作系統嚴格限制了應用的訪問權限，用戶自定義隱私設置就缺乏了靈活性，在 iOS 設備上運行 Tor 也會非常困難。Keystone 硬件錢包目前對於很多高級用戶來說同樣適用於很多第三方錢包，例如：MetaMask Extension 、Metamask Mobile 、Rabby Wallet 、Blue wallet 、Specter 、Sparrow 、Nunchuk 、Electrum 、BTCPay Server 以及  Wasabi，也可以將這些第三方錢包作為配套應用程序來使用。

相比电脑端和 Web 端应用，移动端配套應用程序可以更適用於外出場景，而且可訪問性更是一個硬件錢包應該具備的核心功能。 但需要注意的是，使用公共 Wi-Fi 运行硬件钱包配套應用程序時，可能会因中间人攻击被监控网络流量。当您进行交易时，建议使用加密的 Wi-Fi 或蜂窝网络环境，苹果和谷歌的安全性将进一步保护硬件钱包与配套應用程序的连接。

Keystone 開源了哪些代碼和設計

在 Keystone 中，已經開源的項目有：安全芯片的固件代碼、硬件電路設計和 BOM 物料清單、錢包應用層代碼和部分安卓系統層代碼。同時还發布了第三方代碼審計報告，我們也是首家公開此報告的硬件錢包公司。

Keystone 設備原理圖（電路圖）和物料清單（BOM）都已經在 GitHub 發布。如果您對 DIY 自己的硬件錢包特別感興趣，那這些內容就為您展示了如何一步一步 DIY Keystone 硬件錢包，同時你也可以通過這些內容來研究 Keystone 的內部構造。

我們是第一家開源安全芯片固件代碼的硬件錢包公司（也是目前已知的硬件錢包中唯一一家開源硬件錢包廠商），另外，我們的安全芯片 Datasheet 也是開源的。由於涉及到安全芯片廠商的知識產權，我們與其他硬件錢包一樣，只能實現部分開源（通用微控制器 MCU 也無法開源底層代碼）。但是，由於安全芯片固件代碼是開源的，您可以驗證以下重要的加密操作：

• 如何根據隨機熵生成助記詞和主私鑰

• 如何派生子私鑰和公鑰

• 如何在安全芯片中完成整個簽名過程

• 如何讓私鑰永遠不離開安全芯片

Keystone 还允許用戶自行投擲骰子生成隨機熵值，進而派生私鑰，從而減少了對安全芯片底層代碼（真隨機數生成器）的依賴。如何驗證這個結果，您可以在此處找到答案。對於想要進一步驗證安全元件操作過程的測試人員，可以在與我們簽署保密協議之後，拿到開發版。

Keystone 使用的是安卓操作系統，它為我們的開發提供了成熟的工具鏈，比如相機（用來掃描二維碼）、觸摸屏（增強可讀性，預防錯誤）以及其他功能，讓用戶有更好的操作體驗。安卓的安全芯片在許多支付程序和銀行終端中普遍應用，所以安全係數很高，因此我們在安卓操作系統上構建了一個完全開源的錢包應用層。但是，由於操作系統層某些部分的所屬權屬於各個廠商，所以這部分也不能完全開源。為了進一步提高安全性，防止安卓系統可能發生的攻擊，您可以在我們的開源代碼中查看我們做了哪些操作：

• 關閉 adb 並刪除 adb 後台進程

• 刪除不相關的系統進程和應用程序

• 阻止安裝第三方應用程序

• 修補 Linux 內核漏洞

在 Keystone 開源這件事情上，我們还接受了具有公信力的第三方代碼審核，並將審計報告發布在了 Github 上。我們選擇了中國最好的代碼審計供應商之一：一家由前 360 公司的核心人員和主要項目負責人創建的審計公司，他們在區塊鏈相關產品和防禦安卓黑客方面經驗豐富。大家可以看到，我們已經修復了報告中提到的大大小小所有問題，僅有的兩個未修復的問題，其本身是低風險問題，未修復的原因主要是跟我們業務邏輯有沖突。具體如下：

• PVE010：這個問題與我們的業務邏輯有沖突——我們允許用戶使用指紋授權交易。並且，在安全芯片內，有多重機製確保種子或助記詞不被泄露。比如，安全芯片的所有數據全部默認加密，而且想要竊取種子或者助記詞，主要方式是安裝病毒固件到 Keystone 中，但是只有我們官方簽名的固件包才能進行固件升級，並且，固件升級也依賴用戶的密碼授權，這就杜絕了廠商作惡的可能性。

• PVE011：這個問題也與我們的業務邏輯有沖突——為了保護用戶的硬件錢包免受旁路攻擊，我們設計了多重拆機自毀機製。Keystone 設備一旦檢測到暴力拆機，可以主動銷毀私鑰等敏感數據。如果刪除數據依賴用戶輸入密碼，那拆機自毀機製就無法發揮作用。

使用多重簽名實現信任最小化

實現信任最小化最有效的方法之一就是支持比特幣 PSBT 多重簽名或者以太坊的 Gnosis Safe 多簽。

正如 Michael Flaxman 在此播客中所提到的，多重簽名錢包中每增加一個簽名者，安全性就會提高一個等級，即使增加的簽名方是閉源硬件錢包。因為如果攻擊著想要攻擊一筆多簽交易，他就必須攻擊所有參與簽名的硬件錢包。如果您使用的是來自不同供應商的硬件錢包，那這種情況將難以實現。

目前，我們以經完成了與 Gnosis Safe、 Blue Wallet、Spectre、Wasabi Wallet、Sparrow、BTCPay Server、Electrum Wallet、Fully Noded 等多個數字貨幣錢包的兼容，並且支持 PSBT 多重簽名。多重簽名被認為是安全儲存數字貨幣的最佳選擇，用戶可以使用 Keystone 硬件錢包作為簽名者創建多重簽名錢包，以此驗證未簽名的多重簽名交易。您可以在本文中查看此功能的重要性。

下一步計畫

目前，為了防止網絡釣魚攻擊，Keystone 僅允許用戶通過簽名的固件包進行升級， Ledger、Trezor 和 Keepkey 用戶最近都成為網絡釣魚攻擊的受害者。所以只是單單提醒用戶謹慎安裝第三方固件不足以應對威脅，因為並非所有用戶都具備必要的背景知識，能意識到固件升級過程中潛在的網絡攻擊。

僅允許由我們簽署的固件包進行升級確實防範了大量網絡攻擊，但也有缺點，那就是用戶必須信任我們發布的固件升級包。為了減小這種信任，並滿足那些想要自定義固件的高級用戶，我們未來會發布 Cypherpunk 版本的 Keystone，這個版本的 Keystone 不再預裝任何固件，因此用戶必須編譯自己的固件，在 Github 上選擇可用的私鑰進行簽名，並且，用戶可以自行替換升級包校驗的秘鑰對，從而只識別用戶自行簽名的升級包。

作為目前區塊鏈社區中支持多重簽名這一最佳解決方案的一員，我們非常自豪地告訴大家，我們與 Nunchuk、ColdCard 和 BitBox 的開發人員一起起草了 BIP129（比特幣安全多重簽名設置，BSMS ）。該 BIP 將比特幣多重簽名的安全性，提升到了一個全新的水平。不久的將來，我們也將實施此 BIP 準則。

羅馬不是一天建成的

關於開源，我們為什麼要一步一步實現？有這樣幾個原因。首先，我們有責任保護我們的用戶免受日益增加的黑客攻擊，而將代碼開源的同時也將暴露漏洞，行業內有一句話：「security through obscurity」。所以，Keystone 硬件錢包開源的同時也產生了新的潛在威脅。我們需要執行更嚴格的代碼標準，對這些漏洞進行分析修復，然後才能發布。

世界上沒有絕對的事情，也沒有任何電子產品永遠是完全透明100%開源的，但開源對區塊鏈社區來說仍然非常重要。開源代碼不僅使內部工程師作惡變得更加困難，而且還能促進硬件錢包與軟件錢包等其他產品的集成。現在我們的產品與其他軟件錢包的兼容性越來越高，這也是我們理應為比特幣社區做出的貢獻，同時這也有助於減少用戶對我們產品的信任依賴。

供應鏈攻擊是硬件錢包安全性的主要威脅之一。從下單到我們收到包裹的這段时间，不可控因素非常之多，供應鏈攻擊就是发生在物流環節中。

在此給到大家兩個建議，所有硬件錢包通用：

1、不要從非官方渠道購入硬件錢包，如..閑..魚..等；

2、收到硬件錢包後，先不要急於拆開，仔細檢查包裝是否有被拆過。

與其他競品一樣，Keystone 的物流包裹上有防拆貼紙，我們拿到錢包的第一步就是檢查防拆貼紙是否有被撕掉過的痕跡。

但是，防篡改包裝只是增加攻擊成本的一种方式，不足以完全防住供應鏈攻擊，因為防篡改包裝是可以被仿造的。

官網真機驗證原理

為了更好的防止供應鏈攻擊，我們在您初始化 Keystone 時，設備會提示用戶進行官網真機驗證。如果運輸過程中設備被篡改，將無法通過官網真機驗證。與比特幣签名算法相同， Keystone 的官網真機驗證也采用了非對稱加密算法，可以實現機密信息的交換和驗證。非對稱加密算法需要兩個密鑰：一個私鑰與一個公鑰（兩者是一一對應關系，我們稱之為“密鑰對”）。私鑰可用於簽名和解密公鑰加密的信息，公鑰可用於驗證私鑰的簽名和加密信息。由於公鑰是私鑰通過不可逆算法派生的，僅持有公鑰無法反推私鑰，所以我們通常將公鑰信息公開，供驗證使用。

在生產環節中，我們在每台 Keystone 的安全芯片內都預錄入了一對專門用於官網真機驗證的密鑰對，這對密鑰對和 Keystone 在初始化期間由安全芯片通過物理熵生成的真隨機錢包私鑰無關。

Keystone 官網真機驗證頁面的後端是由 HSM（ Hardware Security Module ）服務器操作，HSM 是由 AWS（ Amazon Web Servce ，也就是大名鼎鼎的亞馬遜雲服務。AWS 是雲服務的鼻祖，相比於大家耳熟能詳的阿里雲，亞馬遜雲的誕生，早了足足九年）提供的高度安全加密服務。HSM 服務器中同樣有一對密鑰對，還同時保存了 Keystone 官網真機驗證密鑰對中的公鑰。Keystone 的安全芯片保存官網真機驗證密鑰對的同時，也保存了 HSM 服務器密鑰對的公鑰。

用戶進行官網真機驗證時，系統會提示用戶使用 Keystone 掃描官網真機展示的二維碼。這個二維碼的原始信息是一串由 HSM 生成的8位隨機字符，這個字符串先由 Keystone 的官網真機驗證公鑰進行加密，然後由 HSM 的私鑰簽名，最終以二維碼形式展示在網頁上供 Keystone 掃描。當 Keystone 掃描官網真機驗證二維碼獲得加密信息後，會先用 HSM 公鑰驗證簽名，這一步可以確保用戶是通過 Keystone 官網真機進行官網真機驗證的，而不是釣魚網站。

然後 Keystone 再用官網真機驗證的私鑰對 HSM 服務器加密的信息進行解密，得到原始信息（8位字符）。將 Keystone 解析的數據輸入到官網真機進行驗證，HSM 服務器會將我們輸入的信息與原始數據進行比對，數據一致就會提示驗證成功。如果驗證失敗，就意味著用戶手中的 Keystone 已經被篡改過（替換安全芯片或者修改固件文件，甚至整個硬件錢包都是偽造的），建議立即停止使用。

官網真機驗證是否容易被攻破？

黑客需要同時攻破我們的 HMS 服務器和 Keystone 設備的安全芯片。Keystone 使用的 HSM 服務器是由 AWS（亞馬遜雲）提供的安全加密服務，是我們評估的所有同類服務供應商中安全性最高。而且，眾所周知，安全芯片被攻擊的難度也非常大，因此黑客很難同時破壞兩者。所以，Keystone 的官網真機驗證可以有效預防供應鏈攻擊。

Keystone 專業版還增加了拆機自毀機制，試圖打開 Keystone 並篡改內部組件時，會觸發自毀機制，安全芯片內的敏感信息將全部自動擦除，設備也將無法繼續使用。

我們的交易簽名過程是否安全？

事情發生在2020年12月，Nexus Mutual 的創始人 Hugh Karp 遭到了有針對性的遠程攻擊。據報道，攻擊者獲得了對 Hugh 計算機的遠程訪問權限然後針對他的 MetaMask 軟件錢包進行一些修改，從而篡改他某一筆交易，並將資金轉移到了攻擊者自己的地址。最終導致了價值800萬美元的數字貨幣被盜。

從 Hugh 的博客中還可以推斷，攻擊者不僅成功的攻擊了 Hugh，還有證據表明同樣成功的攻擊了以太坊社區的其他 DeFi 高級用戶。

硬件錢包無法面面俱到

Hugh 當時使用了硬件錢包，很明顯，僅僅知道如何使用硬件錢包並不是可以完全阻止攻擊的靈丹妙藥。

硬件錢包最基礎的安全假設之一，就是原則上不應該相信配套的軟件錢包，並且用戶應該有能力手動檢查硬件錢包上的交易，來確保沒有任何東西被暗地裏更換。

如果不能確保對交易進行簽署是安全的，我們就稱它為盲簽。

如果我們經過仔細研究就會發現，盲簽意味著你不得不相信你的軟件錢包在簽名時提供的消息和命令都是真實的，無惡意的。那麼我們現在反過來思考，如果我們被迫相信軟件提供的所有東西都是沒有問題的，那麼我們選擇使用硬件錢包去作為簽名設備還有什麼意義呢？

實際上，Hugh 也承認在硬件錢包上去檢查智能合約交互這件事情，說起來容易做起來難。

在 Keystone 硬件錢包上，我們已經提出了一個解決方案，它可能無法100%解決問題，但它絕對是目前市場上最好的解決方案。

在這裏需要再次強調一下，並沒有真正意義上的100%安全，我們所能做的就是盡可能的減少受到攻擊能可能性。

Keystone 的解決方案

4 寸大屏

下面這張圖片是 Keystone 的屏幕截圖，顯示了在 Uniswap 上進行交易互換的交易細節。您可以清楚的感受大屏幕帶來的視覺衝擊。它使更多的信息具有可讀性，這樣用戶就可以更加方便的去檢查未簽名的數據。

智能合約地址驗證

第一件事情我們需要做的是確認您調用了正確的智能合約。

如果攻擊者創建了一個和 Uniswap 一樣的釣魚網站，那麼它就可以複製 Uniswap 當前的 UI，並且調用惡意的智能合約，將用戶的資金轉移到黑客的地址上。

所以我們會提前加載一些著名的智能合約地址，比如 Uniswap 的智能合約地址，我們將 Uniswap 進行標記，這樣用戶就更容易識別它。如果地址並未進行提前加載，則有可能此合約是新合約或者是惡意合約，我們同樣會用紅色的字樣突出顯示為未知地址來提醒用戶。

智能合約功能驗證

如果軟件錢包（例如：MetaMask）被入侵，就算用戶正在與原生 Dapp 進行交互，也仍然有可能被黑客成功攻擊。

如果用戶的軟件錢包被盜取資金，那麼有幾種方法可以實現（以 Uniswap 為例）。

第一個風險就暴漏在授權智能合約使用用戶的代幣時，惡意軟件錢包可以將原始的合約地址替換為黑客的地址，那麼它就可以直接訪問用戶的資金且不受限制。

為了防止這種情況發生，我們特別標註了您授權的智能合約地址，並在解析為未知地址時突出顯示來提示用戶。

第二種攻擊更加有趣味性。

再深入研究 Uniswap 的代碼庫後，我們發現了以下代碼可能存在風險：

function swapExactTokensForTokens(
        uint amountIn,
        uint amountOutMin,
        address[] calldata path,
        address to,
        uint deadline
    ) external override ensure(deadline) returns (uint[] memory amounts) {
        amounts = UniswapV2Library.getAmountsOut(factory, amountIn, path);
        require(amounts[amounts.length - 1] >= amountOutMin, 'UniswapV2Router: INSUFFICIENT_OUTPUT_AMOUNT');
        TransferHelper.safeTransferFrom(path[0], msg.sender, UniswapV2Library.pairFor(factory, path[0], path[1]), amounts[0]);
        _swap(amounts, path, to);
    }

函數定義中有一個地址參數叫做 “to”。通常它應該與用戶自己的 “From” 地址一致，以便交換的代幣可以轉到用戶的原始地址。但是 Uniswap 是允許更改這個參數的，以便用戶可以將代幣交換到另外一個地址（我們不認為這個是一個缺陷，而是 Uniswap 本來就這麼設計的）。 但是如果這種設計被黑客利用，它就可以通過攻破軟件錢包來將這個值修改為黑客自己的地址，然後用戶在交換代幣的過程中，將代幣交換到了黑客的地址上。

因此為了應對這種攻擊策略，我們會用 “From” 的地址驗證這個地址，若發現兩個地址不一致，則我們會將它清晰的標註到 Keystone 上（詳見下圖）。

從截圖中可以看出，我們同樣也標註了路徑，以便用戶驗證它是否與 Uniswap 的 UI 保持一致。

下面是另一款錢包在簽署 Uniswap 交易的實例（將0.1 ETH 交換為 DAI）。在下面的截圖中可以看到，整個簽署過程都沒有顯示 “to” 的地址。如果黑客通過攻破 MetaMask 錢包將你的收款地址改成黑客的地址並且發送了一筆交易，無論你多麼仔細檢查，也無法發現這筆交易存在問題。

當前狀態

目前 Keystone 硬件錢包已經可以和 MetaMask Extension（瀏覽器插件） 和 MetaMask Mobile（手機 APP 端） 實現交互。

以下是相關鏈接：

MetaMask 瀏覽器插件整合公告

MetaMask 瀏覽器插件整合教程

MetaMask 手機 App 端整合公告

MetaMask 手機 App 端整合教程

寫在最後

在 Keystone，我們認為用戶體驗在數字貨幣安全領域是及其重要的，因為往往人為因素才是導致數字貨幣資產丟失的最大原因。這也是 Keystone 最重要的設計原則之一。

對於所有的硬件錢包產品來說，不僅要保護好私鑰，同樣也要儘可能避免人為因素導致的失誤。

總結來講，如何保證數字貨幣資產安全絕對不是一件容易的事。

如果我們以智能合約驗證功能為例，硬件錢包廠商需要對 Dapp 的邏輯非常熟悉，並且還要找出潛在的威脅。如果 Dapp 項目方可以與硬件錢包團隊共同合作，一起解決掉這些潛在的安全層面的問題，那麼對於每個人來講都是有好處的。

保護用戶資產的安全是整個社區共同的責任，我們 Keystone 團隊歡迎任何形式的合作。

特別感謝 Philipp 和 Ryan 對本文的審查。

什麼是旁路攻擊？

如果您已經閱讀過關於《安全芯片是如何防止敏感信息被旁路攻擊利用》的文章，請直接閱讀下一個章節。如果您還不太清楚這些細節，那麼旁路攻擊其實是對電路板的拆卸來訪問設備一些日常的行為，例如：功耗、操作時間和電磁輻射，從而進行攻擊。每當硬件錢包處理一些敏感信息時，都會在設備中留有一些痕跡，而通過這些痕跡可以拼湊出存儲在設備中的私鑰。Kraken 的實驗證明，儘管攻擊模型沒有考慮隱藏錢包和安全芯片等因素，但只需要對 Trezor 進行15分鐘的物理攻擊就會被完全入侵。

拆機自毀機制在傳統銀行的應用

目前，世界各地大多數的 ATM 機都在通過升級拆機自毀的機制來抵抗物理攻擊，如果監測到有人試圖拆除設備獲取現金時，它會在內部自動銷毀存儲的現金。這種防禦機制有時會觸發其內置的墨水膠囊產生爆炸並污染現金或破壞內部組件從而撕毀現金。這種情況是因為如果竊賊偷走 ATM 機，他們總會有辦法通過某種方式打開它。除此之外，許多用來刷信用卡的 POS 機也有拆機自毀機制。

相比於這些機器，硬件錢包往往更容易受到攻擊。而拆機自毀機制則是最直接有效阻止這類攻擊的辦法，銀行可以在現金破壞掉後重新印錢，您也可以通過重新導入助記詞的方式將一切重新恢復。前提是您的助記詞存儲在一個安全的位置。這就有點像電影*《奇愛博士》*中的末日機器是終極威懾，而你的助記詞才是你的輻射避難所。

拆機自毀機制原理

Keystone 硬件錢包並沒有藍牙、WiFi、USB 和 NFC 這類通訊接口，傳輸信息的唯一方式是通過一個可查驗的二維碼或者直接訪問電路板。若想要直接訪問電路板，則需要用一些工具穿過設備主體，但這會導致在這個過程中損壞電路板從而損壞產品。因此大多數針對 Keystone 硬件錢包的物理攻擊，應該會通過拆卸屏幕的方式進行。因為在那個位置，除了 TF 卡槽之外，沒有任何其他端口。因此，攻擊者很有可能通過熱融槍將屏幕周邊的膠水融化掉，進而對電路板進行攻擊。

而 Keystone 硬件錢包包含兩個相互接觸的組件，一個在屏幕裡，一個在電路板上，這兩個組件相互導電，若兩者失去聯繫，電路板上的組件會檢測到屏幕已被移除，則觸發拆機自毀機制，會立即擦除所有敏感信息。觸發拆機自毀機制後設備將無法再次使用。如果您平常喜歡研究設備構造並試圖拆除屏幕，請一定要注意這個機制。

Keystone 設備裡還有一塊鈕扣電池，專門用來觸發拆機自毀機制。電池的壽命大概在兩年左右。如果在兩年後您仍然想通過拆機自毀機制保護您的設備，建議您到時可以更換一個新的 Keystone 專業版 硬件錢包。

針對旁路攻擊和供應鏈攻擊的重要說明

雖然沒有任何一個安全機制可以保證絕對安全，但 Keystone 專業版 硬件錢包的多層拆機自毀機制實實在在的提高了潛在的攻擊成本。旁路攻擊的常見應對方案主要專注在如何減少信息泄露，或者如何模糊與敏感信息的關聯，這也是為什麼私鑰永遠不可能儲存在安全芯片之外的地方。除了安全芯片帶來的安全性，拆機自毀機制能夠進一步提升黑客的攻擊成本。

同樣拆機自毀機制也使供應鏈攻擊更難成功，因為他們需要在不破壞產品的情況下拆卸設備，同時還要清楚如何繞過 Web 真機驗證。可以閱讀 Web 真機驗證的文章，了解 Keystone 硬件錢包如何抵抗供應鏈攻擊。

Keystone 硬件錢包如何創建交易

硬件錢包由於不聯網的特性，因此無法單獨構造交易，需要一個移動端 App（熱端錢包）一起配合使用。因為私鑰始終保存在離線設備中，所以移動設備無論損壞或丟失，都不會影響到資產安全。

交易會通過二維碼在移動端設備和 Keystone 硬件錢包進行數據傳輸，最終被創建和簽署。以下是詳細步驟：

1. 我們在移動端 App（熱端）上創建一筆待簽名交易，這筆交易數據體現為二維碼；

2. Keystone 硬件錢包（冷端）通過相機掃描熱端二維碼獲取數據；

3. 然後在冷端上用觸摸屏確認交易並簽名生成簽名數據，同樣體現為二維碼；

4. 熱端通過相機掃描冷端屏幕展示的二維碼獲取數據；

5. 熱端廣播交易到區塊鍊網絡。

如何“查验” Keystone 硬件錢包二維碼內包含的內容？

我們始終相信二維碼不僅具備很高的安全性，同時也是在離線冷儲存中最公開透明的一種介質。

目前 Keystone 硬件錢包正在使用 BC-UR 對 QR 碼進行編碼/解碼。可以點擊鏈接來獲取更多詳細的信息： https://github.com/BlockchainCommons/Research/blob/master/papers/bcr-2020-005-ur.md

如果想根究 Github 上的教程去操作，用戶需要有能力用一種易於理解的方式來解碼 Keystone 上二維碼的內容，並同時可以向用戶展示每次在向熱段 APP 傳送了哪些內容，從而用戶可以基於此進行驗證，來看一下 Keystone 硬件錢包到底有沒有对敏感信息進行秘密傳輸。

要執行整個過程需滿足以下先決條件：

1. 安裝 Google Protobuf compiler.

在 Unbutu 上，可以通過下面的代碼進行安裝：

sudo apt install protobuf-compiler

在 macOS 上可以通過以下代碼進行安裝：

2. 安裝 Python API 客戶端，假設您使用 python3 ，則可以通過以下代碼進行安裝：

pip3 install --upgrade google-api-python-client

3. 執行（如果沒有則安裝）make 來構建 proto3 所需的 python 模塊。

滿足以上條件後，接下來可以通過以下步驟來驗證 Keystone 硬件錢包向 Keystone 熱端 APP 傳輸的二維碼包含的內容，同樣也支持反向操作的驗證。

1. 選擇你喜歡的數字貨幣創建一筆交易。

2. 選擇一個二維碼掃描工具掃描出現的動態二維碼，推薦 QR Journal 這個工具。請注意：由於二維碼是動態二維碼，所以需要使用 QR Journal 不停掃描二維碼，掃描成功的次數越多，後面才會增加解析成功的概率。

3. 將每次通過 QR Journal 解析成功的所有二維碼文本內容保存到一個新的文件中。可以參考下面的內容展示：

UR:BYTES/1-2/LPADAOCFAXLDCYKKKGJPROHKADSKHKAXLNCTLUAYAEAEAEAEAEAEAEHLTYSOPLVLFYCSAHHNFELAJYBZFZNBRKIMYKLEHLQDRKWEROFNTYTDGLESPAFNRECAFRWNPFWFBBGWJNMSVDINSRPFFWBNBDNNMWEMFZYAPKBYUOJTPTCKVTTEESVDPELTUTVLEMFERFJYFSPLVOWSNYENSSGYZTZSWSLTLTUTVLAXKPHNLOVLHPLNKSZCTSSRZETSUTZEEOUEFTKBRKKGZCVLJTZMONZSAAVTNDOSRLTKWSBYTKYKBETILOSFAEWEAOTDFNUTJKLYKTTEMKMSSONBKTTLGRASMYYLLAREKNNBGMZTFDTIFSTSIMZTFYJSMTRPFDKOCKLPWDOESFYACSLDRPECMTOXHEDYYTLYRLZCPFOYMWASDYPSWSHYIAWYLFUTBGFYOTJLDKBGTKNTRKVTTLJTZMUYLNBYDWJSSRZTQZUYLBREHSRTNDDIZSONVAPDONZCVTJOCPWDHDRTONHYGLJSLESTTEHKAMFTNTGMDRVEYAEYEYWFJZOYLUMHBSPRONJEHDCSOEHFESCTHNLGVWTTWMCAROLFGUMKKNPRMDHPGROLBSDETOGLWDECCPFYMHGDWMDPEOVACKWKKPTTVOGEIMHEKIPAZMZCESNYVLQDVAVDUTZEWMBSCYAOGDDLESESLFMNCWBGPTCXLTNSTNNLKBSTJSDWOTGLJZHNHYHPTNENVEHFCPLRHFSEKTGATSHSEMSTCKTAONFYDKCKGSIMNLBNWMOEREGLKTKTHFLUIYWLHHTDCPVDGDFWESCAGOMWLFTPGDCLCHNLFEHSDELECYNBEOZCCLNSTKBYIOLEZMHGREKKHYIMMHGOAHGLBGVSMKDMUYGRNYIEDAWPBGFGPKDTLNTPCMGDBTCFNNMTFEHHJS
UR:BYTES/2-2/LPAOAOCFAXLDCYKKKGJPROHKADSKMURKLDDKVYCPLOSFEEFYBDEYGHIEIDDNGMLKSFJNSPFMCSRYHPPALNKNSFGHIMOEDYIHHNIYQDHSLRIYCYCHYLGHWYGAFRNYWLFDHNGOWNHDJZNYVDUTDENEWPVAWTEYCYRHLTSFAYBGOYFRLSTECFBKCXBZJODLHHZORFQZTAMTCWJLVYGOAOKKHGFGDPBSFDSWVARYGEIYMUMNDPZSTLFHCFIDBNEOFGJETBMHRKCMCLIHSWNYTEUTPFKGRSINJKFYJOBWGELFWLDYTYWPECGMWEAMBGZTLNYTIALUSWRDRFTEFMPLBKKBGHMDCMLKCHCACTWZMTSAPKPDCWWFTLRNTLPYSBNTINJSDTJZFHGOEYOTDRVAISBABYNNMEGARKKKGSCEPEDEFEAEVAQDGDHSHDFYDSDPWTVTIYDABAGLESHDTSIHGUMHTEDEAONDAOMDJYWNBKRTDYRLPKCKWDKPWFFNDLSTRHVSNEDWATRFVEAEMOSNSKFWFHCPDWDWGHTOLDRTLTDTURRKJNHDRLVAJYCKAHMNGODEGYGRCWQZFDFMHSKGKNWEESESFYNYTBKTMSFNBBVDRECWFNPTCLTPGLECLUNBJZHHRHPTMECTWDPSPENYEYGTBKWFWDCERPCLPDBYLTEMTODLCWATRYQDENTOBSZOZCTEGULGURCHKBLRZOLBDTTIESMEHLBTIAKIBBEEPAFYJSECDADYCASGKEIMKNKKWTAOMYGTDYPDTASWPKBTRKCPSFTEWDHDCMLUGMRETSCANYRPVSGLPEKIDLWSCNOTVWNLPFCFSPEYJZDNAMLPDTGRNTJLJNAYMURPDIDNMOCWMYMHRSJNCHZEZCNETNVYWNRSGWGAVSRDROWDEOZMZCFHTEHTSBURPYAAAEAEAEZSCSSTTN
UR:BYTES/5-2/LPAHAOCFAXLDCYKKKGJPROHKADSKSGROBSFRIMDRLOSFEEFYBDEYGHESRPVOZTJLLOKPSNHYHLFSDLOXSWTNKTFMNEDEJNTBUYLUBDHLGDQZGHDMFGISHPGHAEJEHKRKJYCYNSTKLUWFDKJNIMMUVDKSIEAHHTFPDPUTTYKEAYDAIAAECXWEMYMOPMSFJERNAERTVEETYTLAKGIASWDEPYRFSALOTKCWAHRNFHAMCWJNKOKEPMSATOOYWZVENDMDVWGLLYISNYCKFRKKRYCPBZLYRKLDVSVLSTUOONMUDSSKSSFNRYNNWEWMBEDMRDDKBEBKPAINDKFYYLBAKIPYCTNSNLKGMSPDIHGMSSFMVOKSDSDKRSFWMETNHLDNCLATEMWLTLYLZEHPEYJLUEFRLTFTTOKKFWYAZOVYCTLDTTASTBCTRSFHFRPKOXWTVOOXSKGEDRHHYNSKJZLPLNZEDWWFLRLEDMVERLBTRNCWGWAOSBUEJSGMASNLSOJLCEBZLBHHDAHFRFRTEMMULUEOREVWZMKPGMWKBBMOPMSNDILDHEPYUYFLZMMNBKFNWTFXASGURHVOJSCLADYNNEFNTDDKZTCSLPWSWEMNLYRFZERYEOLYWSMTOXAEPTVEZTBNGMLROEYTWKHDTNGRTIATHNPSMSPMGAUOMELUIELRDESPSWYTHFRFDWSFHETYSSWDTTAXSSAHTSOXKEVLWFGAFLHFDWCLRTEOKSGHWSCTPYAXSEIYFHGLDRPYBTDYDIIAROLEDMJSKELFMNBWYLFDGOURADZSOTSKDASALYMTZTHEQZNSLGNYLBPMCYRNPFBTEYSEMKBWKGPRFXVEADSELTTKHYYKPRDRVSFTYKMEJOSTBKBBGAMWJNSGURPEVLHGTSIOEOWNCPMNCMBWWSKKKKJKGTATRYGHBTCFNNQZPRSBAD
UR:BYTES/7-2/LPATAOCFAXLDCYKKKGJPROHKADSKMURKLDDKVYCPLOSFEEFYBDEYGHIEIDDNGMLKSFJNSPFMCSRYHPPALNKNSFGHIMOEDYIHHNIYQDHSLRIYCYCHYLGHWYGAFRNYWLFDHNGOWNHDJZNYVDUTDENEWPVAWTEYCYRHLTSFAYBGOYFRLSTECFBKCXBZJODLHHZORFQZTAMTCWJLVYGOAOKKHGFGDPBSFDSWVARYGEIYMUMNDPZSTLFHCFIDBNEOFGJETBMHRKCMCLIHSWNYTEUTPFKGRSINJKFYJOBWGELFWLDYTYWPECGMWEAMBGZTLNYTIALUSWRDRFTEFMPLBKKBGHMDCMLKCHCACTWZMTSAPKPDCWWFTLRNTLPYSBNTINJSDTJZFHGOEYOTDRVAISBABYNNMEGARKKKGSCEPEDEFEAEVAQDGDHSHDFYDSDPWTVTIYDABAGLESHDTSIHGUMHTEDEAONDAOMDJYWNBKRTDYRLPKCKWDKPWFFNDLSTRHVSNEDWATRFVEAEMOSNSKFWFHCPDWDWGHTOLDRTLTDTURRKJNHDRLVAJYCKAHMNGODEGYGRCWQZFDFMHSKGKNWEESESFYNYTBKTMSFNBBVDRECWFNPTCLTPGLECLUNBJZHHRHPTMECTWDPSPENYEYGTBKWFWDCERPCLPDBYLTEMTODLCWATRYQDENTOBSZOZCTEGULGURCHKBLRZOLBDTTIESMEHLBTIAKIBBEEPAFYJSECDADYCASGKEIMKNKKWTAOMYGTDYPDTASWPKBTRKCPSFTEWDHDCMLUGMRETSCANYRPVSGLPEKIDLWSCNOTVWNLPFCFSPEYJZDNAMLPDTGRNTJLJNAYMURPDIDNMOCWMYMHRSJNCHZEZCNETNVYWNRSGWGAVSRDROWDEOZMZCFHTEHTSBURPYAAAEAEAEMHSGRPSO
UR:BYTES/10-2/LPBKAOCFAXLDCYKKKGJPROHKADSKHKAXLNCTLUAYAEAEAEAEAEAEAEHLTYSOPLVLFYCSAHHNFELAJYBZFZNBRKIMYKLEHLQDRKWEROFNTYTDGLESPAFNRECAFRWNPFWFBBGWJNMSVDINSRPFFWBNBDNNMWEMFZYAPKBYUOJTPTCKVTTEESVDPELTUTVLEMFERFJYFSPLVOWSNYENSSGYZTZSWSLTLTUTVLAXKPHNLOVLHPLNKSZCTSSRZETSUTZEEOUEFTKBRKKGZCVLJTZMONZSAAVTNDOSRLTKWSBYTKYKBETILOSFAEWEAOTDFNUTJKLYKTTEMKMSSONBKTTLGRASMYYLLAREKNNBGMZTFDTIFSTSIMZTFYJSMTRPFDKOCKLPWDOESFYACSLDRPECMTOXHEDYYTLYRLZCPFOYMWASDYPSWSHYIAWYLFUTBGFYOTJLDKBGTKNTRKVTTLJTZMUYLNBYDWJSSRZTQZUYLBREHSRTNDDIZSONVAPDONZCVTJOCPWDHDRTONHYGLJSLESTTEHKAMFTNTGMDRVEYAEYEYWFJZOYLUMHBSPRONJEHDCSOEHFESCTHNLGVWTTWMCAROLFGUMKKNPRMDHPGROLBSDETOGLWDECCPFYMHGDWMDPEOVACKWKKPTTVOGEIMHEKIPAZMZCESNYVLQDVAVDUTZEWMBSCYAOGDDLESESLFMNCWBGPTCXLTNSTNNLKBSTJSDWOTGLJZHNHYHPTNENVEHFCPLRHFSEKTGATSHSEMSTCKTAONFYDKCKGSIMNLBNWMOEREGLKTKTHFLUIYWLHHTDCPVDGDFWESCAGOMWLFTPGDCLCHNLFEHSDELECYNBEOZCCLNSTKBYIOLEZMHGREKKHYIMMHGOAHGLBGVSMKDMUYGRNYIEDAWPBGFGPKDTLNTPCMGDBTCFNNEOMWBSWE
UR:BYTES/13-2/LPBTAOCFAXLDCYKKKGJPROHKADSKSGROBSFRIMDRLOSFEEFYBDEYGHESRPVOZTJLLOKPSNHYHLFSDLOXSWTNKTFMNEDEJNTBUYLUBDHLGDQZGHDMFGISHPGHAEJEHKRKJYCYNSTKLUWFDKJNIMMUVDKSIEAHHTFPDPUTTYKEAYDAIAAECXWEMYMOPMSFJERNAERTVEETYTLAKGIASWDEPYRFSALOTKCWAHRNFHAMCWJNKOKEPMSATOOYWZVENDMDVWGLLYISNYCKFRKKRYCPBZLYRKLDVSVLSTUOONMUDSSKSSFNRYNNWEWMBEDMRDDKBEBKPAINDKFYYLBAKIPYCTNSNLKGMSPDIHGMSSFMVOKSDSDKRSFWMETNHLDNCLATEMWLTLYLZEHPEYJLUEFRLTFTTOKKFWYAZOVYCTLDTTASTBCTRSFHFRPKOXWTVOOXSKGEDRHHYNSKJZLPLNZEDWWFLRLEDMVERLBTRNCWGWAOSBUEJSGMASNLSOJLCEBZLBHHDAHFRFRTEMMULUEOREVWZMKPGMWKBBMOPMSNDILDHEPYUYFLZMMNBKFNWTFXASGURHVOJSCLADYNNEFNTDDKZTCSLPWSWEMNLYRFZERYEOLYWSMTOXAEPTVEZTBNGMLROEYTWKHDTNGRTIATHNPSMSPMGAUOMELUIELRDESPSWYTHFRFDWSFHETYSSWDTTAXSSAHTSOXKEVLWFGAFLHFDWCLRTEOKSGHWSCTPYAXSEIYFHGLDRPYBTDYDIIAROLEDMJSKELFMNBWYLFDGOURADZSOTSKDASALYMTZTHEQZNSLGNYLBPMCYRNPFBTEYSEMKBWKGPRFXVEADSELTTKHYYKPRDRVSFTYKMEJOSTBKBBGAMWJNSGURPEVLHGTSIOEOWNCPMNCMBWWSKKKKJKGTATRYGHBTCFNNLYZCGEGU

4. 對剛才保存的文件執行驗證程序代碼，例如：./keystoneQRVerify.py --file sample_qr_codes.txt

5. 最終經過解析後的文本內容應該像以下這樣：

version: 1
description: "keystone qrcode"
data {
  type: TYPE_SYNC
  uuid: "5271C071"
  sync {
    coins {
      coinCode: "BTC"
      active: true
      accounts {
        hdPath: "M/49\'/0\'/0\'"
        xPub: "xpub6D3i46Y43SFfjEBYheBK3btYMRm9Cfb8Tt4M5Bv16tArNBw5ATNyJWjdcMyLxoCdHWTvm3ak7j2BWacq5Lw478aYUeARoYm4dvaQgJBAGsb"
        addressLength: 1
      }
    }
    coins {
      coinCode: "ETH"
      active: true
      accounts {
        hdPath: "M/44\'/60\'/0\'"
        xPub: "xpub6CNhtuXAHDs84AhZj5ALZB6ii4sP5LnDXaKDSjiy6kcBbiysq89cDrLG29poKvZtX9z4FchZKTjTyiPuDeiFMUd1H4g5zViQxt4tpkronJr"
        addressLength: 5
      }
    }
    coins {
      coinCode: "BCH"
      active: true
      accounts {
        hdPath: "M/44\'/145\'/0\'"
        xPub: "xpub6CjD9XYc1hEKcAMsSasAA87Mw8bSUr6WQKrJ1ErLofJPP9sxeZ3sh1dH2S5ywQTRNrXsfXzT686jJNdX2m9KhvMDh4eQM9AdSkkQLLMbDG6"
        addressLength: 1
      }
    }
    coins {
      coinCode: "DASH"
      active: true
      accounts {
        hdPath: "M/44\'/5\'/0\'"
        xPub: "xpub6DTnbXgbPo6mrRhgim9sg7Jp571onenuioxgfSDJEREH7wudyDQMDSoTdLQiYq3tbvZVkzcPe7nMgL7mbSixQQcShekfhKt3Wdx6dE8MHCk"
        addressLength: 1
      }
    }
    coins {
      coinCode: "LTC"
      active: true
      accounts {
        hdPath: "M/49\'/2\'/0\'"
        xPub: "xpub6CKt97v4gEsG4FG9E4hEotEUtjmW8rAvVcUJ4jsmdrB437WBZnK8gs8ktzaFQHe9i7NqzcAUkc5SeNXsVoYfVNxd1AwDgbw2up8UdMWq91B"
        addressLength: 1
      }
    }
    coins {
      coinCode: "TRON"
      active: true
      accounts {
        hdPath: "M/44\'/195\'/0\'"
        xPub: "xpub6CNbvRPo2jr5oMHPQxUWVpzYAG6HykWahLiQnkxdxcDoxDS6Yje1CUDhD49jxEno9kdS6EB4VTgXohA9ppmqk3wvH4W54nJRZk477Vnpupz"
        addressLength: 1
      }
    }
    coins {
      coinCode: "XRP"
      active: true
      accounts {
        hdPath: "M/44\'/144\'/0\'"
        xPub: "xpub6C438jHkPCDoEy5jAH4a9hBtYrcprSwGvEA8L5HNhqDyJa1WZPpZXj9DNNtsRjcHxzsuZJq18sMSkbmqYKqpDacP8aMSK63ExzX2bPoMdAo"
        addressLength: 1
      }
    }
    coins {
      coinCode: "DOT"
      active: true
      accounts {
        hdPath: "//polkadot"
        xPub: "xpub69XF3sp9ePvENHmDenwg9humjwqtKuZbZ8go4p8qTpQWn1SFzXTT8DhMtPX66T6sPpaZjtdQrB7cqu3mcrn7Dch85GVrc9grt3n3AvC9BVb"
        addressLength: 1
      }
    }
  }
}
coldVersion: 10001
deviceType: "keystone Essential"

如果您對這個過程有任何問題或者建議，可以將您的訴求提交到這裡：https://github.com/KeystoneHQ/KeystoneQRVerifier

寫在最後

現在已經越來越多的人知道或者已經擁有硬件錢包了，但二維碼公開透明這個本應每個硬件錢包用戶都應該意識到的特點卻很少有人知道。除此之外，大家要是有什麼好的想法或者建議也可以給我們發郵件 support@keyst.one 。

特別感謝 @fnord123 對 QR code verifier 的供獻!

選擇離線計算機作為冷錢包

將私鑰存儲在離線設備上，尤其是存儲在一台離線的計算機上，这种冷儲存解決方案已經存在了很長時間。Mordechai Guri 博士在他的報告 *Beatcoin: Leaking Private Keys from Air-Gapped Cryptocurrency Wallets *中詳細的闡述了這種冷儲存解決辦法是多麼的不安全。他的研究結果概述了如何通過三個步驟從一台離線計算機上獲取私鑰：

1. 病毒滲透（Infiltration）：一般是通過 U 盤將病毒程序傳輸到離線電腦中。

2. 發送指令（Command & Control）：攻擊者通過特殊手段，將指令發到存儲了機密信息的離線設備中。

3. 竊取信息（Exfiltration）：攻擊者從存儲了離線設備中竊取機密信息。

病毒一旦滲透到離線計算機中，那麼實現第2步或第3步的方法會特別多。Guri 博士在研究中還發現，由於計算機是由很多零部件組成，可以通過病毒入侵實現單獨控制計算機某個模塊的功能。其中一些还包括一些出人意料的發現：

• 病毒控制電腦的風扇，讓風扇的聲音向外傳輸信息。 

• 病毒控制機械硬盤的驅動器的噪音，向外傳輸信息。

• 病毒將計算機上的信息通過電磁信號的形式向外傳輸。 

• 最恐怖的是，病毒可以利用超聲波，將離線電腦或者離線樹莓派上面的私鑰信息向外傳輸。

Guri 博士的團隊展示了這些輸出界質（光、聲音和無線電信號）如何被附近的設備所接收並最終泄露私鑰。

從Guri 博士的研究中可以試想一下在離線計算機上安裝惡意軟件到底有多容易？對於剛接觸這個行業的人來說，病毒似乎不太可能傳播到設備上。但是，市面上幾乎所有冷錢包都需要某種方式來連結到互聯網上進行交易或進行其他操作。而對於離線計算機而言，通常用 USB 進行數據傳輸，而通過 USB 進行數據傳輸安全性無法保障。

舉一個實際例子大家就能意識到躲在暗處的攻擊者的攻擊手段有多麼隱蔽和難以防範——2008 年，位於中東某地的美國軍事基地內，攻擊者將一個安裝有病毒軟件（Agent.BTZ）的 U 盤故意“遺失”在基地停車場內。 U 盤被美國國防部工作人員拾到，並連接到了美國國防部的內部網絡中。之後，在毫無察覺的情況下，病毒入侵了整個美國國防部的內部安全網絡。五角大樓的 IT 安全人員花了整整 14 個月才清除了病毒的所有殘餘。

而大家用 U 盤將轉賬地址傳輸進離線電腦，並將簽名完畢的信息從離線電腦拷貝出電腦，這些都是黑客植入病毒的絕佳時機。

對於第三方操作系統或軟件錢包的用戶來說，離線計算機的危險不止於此。再舉一個更加“不可能發生”的例子。 2016 年，黑客替換了 Linux Mint 官方的下載鏡像，並在其中安插了後門程序。所以，在官網下載的操作系統或者錢包應用，同樣存在一定的風險。

Android 設備作為冷端錢包

“離線電腦”其實並不是真正“離線”，那離線的手機呢？手機沒有風扇，也沒有機械硬盤，手機就能做到真正的“安全”嗎？

我們先來看 Android 手機。 Android 手機的安全性主要依賴 TrustZone（私鑰正是保存在 TrustZone 中，甚至有些無良廠商並沒有將私鑰存儲到  TrustZone 中）。通過旁路攻擊的展示，可以看到 TrustZone 非常脆弱。如果攻擊者獲得了這台離線 Android 設備的物理訪問權限， 他們就可以實施可行的方法竊取私鑰。 就算 Android 廠商及時發現了零日攻擊，他仍需要讓用戶下載補丁，但往往攻擊者會禁止設備這樣做。

選擇 iPhone 作為冷錢包

iPhone 有一個叫做 Secure Enclave 的安全區，可以理解成是嵌在主芯片內的一顆加密芯片。顧名思義，iPhone 率先在智能手機上使用了安全芯片。理論上來說，Secure Enclave 能實現加密芯片的幾乎所有功能和物理特性，包括加密芯片最關鍵的功能——物理生成真隨機數（True-Random-Number-Generator，簡稱 TRNG）。

儘管 Secure Enclave 能夠做到這一點，但它對加密貨幣並沒有幫助，因為蘋果公司掌管著私鑰，並且不會向任何地方開放使用。最關鍵的是 Secure Enclave 只支持加密曲線 Secp256r1，而比特幣的加密曲線用的是 Secp256k1 ，一個字母，差之毫釐，謬以千里。這個就導致了你用 iPhone 做冷錢包的時候，簽名一筆比特幣交易，簽名是發生在 iOS 應用層而不是 Secure Enclave 裡面。這就是極大的風險敞口，非常容易受旁道攻擊。就算蘋果公司支持了 secp256k1，也沒有可以幫助提取私鑰或者恢復種子的 API 接口。

因為Secure Enclave 設計之初，是為了保證 iPhone 的安全性，所以他有一些很特殊的安全機制，比如——物理生成的真隨機數（True-Random-Number-Generator，簡稱 TRNG）是不能讀取的。也就是說，用戶無法備份他的主私鑰，如果 iPhone 壞了，數字資產會全部遺失。同時，Secure Enclave 也不支持第三方 App 的讀寫操作。所以，你也無法把你的私鑰導入 Secure Enclave 保存。

iPhone 雖然有了 Secure Enclave，攻擊面比計算機小，而且不使用 USB 進行數據傳輸，但其實 Secure Enclave 並沒有參與到數字貨幣的隨機數生成，私鑰存儲，私鑰簽名這些關鍵操作中。不管你用哪一款冷錢包 App，隨機數還是算法生成的偽隨機數，私鑰還是存在系統層，私鑰簽名還是在系統層內發生。另外，即使蘋果公司增加了對 secp256k1 的支持，如果 iPhone 發生任何事情，你也無法備份你的錢包。雖然蘋果公司也發布了 CryptoKit ，但其實它只是一個密碼學組件。不是一個數字貨幣組件。這裡Crypto 代表的是 Cryptographic（密碼學），不是 Cryptocurrency（數字貨幣）。

簡單可靠最重要

硬件錢包是一款很簡單的設備，它可以大大減少受到各種攻擊的威脅。雖然離線智能手機比離線計算機看起來更加安全，但是不要被這種表面的安全感所迷惑。如果您希望可以保護您的數字貨幣資產，您最好購買一臺包含安全芯片的硬件錢包。要想了解更多關於進一步降低攻擊可能性的信息，請繼續閱讀《 Keystone 如何保證二維碼傳輸是公開透明的》。

Keystone 硬件錢包內置安全芯片為離線存儲私鑰提供了一個非常便攜且開源的解決方案，同時解決了盲簽這種很多用戶一直擔心的安全問題。它還擁有一塊大小為4英寸的屏幕並且可以支持比特幣PSBT多簽。從站在保護數字資產的角度上看，Keystone 硬件錢包通過與其他軟件錢包的整合真正意義上實現了安全與便攜的平衡。

接下來將具體介紹一下 Keystone 專業版 和 標準版 這兩款產品的功能亮點。

目前市面上幾乎所有的硬件錢包都需要通過 USB 連接一臺在線設備來簽署交易，因此一個硬件錢包的安全程度完全取決於這個設備如何防止在數據傳輸的過程中受到攻擊。而相比於使用 USB、NFC、藍牙、WiFi 進行數據傳輸，二維碼在傳輸過程中會更加安全，更不容易受到攻擊。 Keystone 硬件錢包就是通過掃描二維碼完成對數據的傳輸，從而實現助記詞和私鑰的“物理隔絕”。不僅如此，技術團隊還在此基礎上率先推出了動態二維碼解決方案，可以支持傳輸大量的交易數據。同時 Keystone 硬件錢包還支持讀取 TF 卡去適配一些不配備攝像頭桌面錢包應用場景。 （例如：Electrum、Wasabi 等）

由於二維碼的特性，使用任何二維碼掃描設備都可以將儲存在二維碼中需要傳輸的數據轉換為人類可讀的格式，因此每一次通過二維碼進行數據傳輸時都可以將這些數據進行驗證，來確保這些數據在進入 Keystone 設備之前不會受到木馬或者病毒的攻擊， 而且在向外傳輸信息時，也可以通過驗證來確保流出的信息不會洩漏您的私鑰或者任何其他敏感信息。如果使用 USB 或者藍牙等方式進行數據傳輸，他們沒辦法做到每次傳輸信息都可被驗證，會對您的資產安全產生極大的威脅。

Keystone 硬件錢包使用的是銀行級別的安全芯片來生成真隨機數並衍生出私鑰和公鑰，而且可以在簽署交易時保護私鑰不會因訪問設備而洩漏。除了利用物理熵獲得隨機種子，安全芯片也可以在最大程度上保護您的私鑰不受到物理攻擊。所以安裝了安全芯片的錢包從安全程度上來講絕對是長期持有者的第一選擇。

Keystone 硬件錢包還是第一個將安全芯片的固件代碼開源的錢包，這意味著它的所有核心加密流程都可以被驗證，例如：你可以知道安全芯片是如何生成並存儲私鑰。如果您想親自去驗證 Keystone 兩款產品的固件升級包的真實性，您可以在 Github 上，編譯安全芯片硬件的開源代碼和硬件錢包的應用程序層代碼。在 Github 上也同樣也發布了設備電路原理圖方便大家隨時查看。

電子設備中最薄弱的部分往往是電池，因為它的壽命只有幾年。而 Keystone 的電池可以通過模塊化可拆卸來防止被腐蝕損壞，並且 Keystone 標準版 和 Keystone 專業版 都可以支持 AAA 電池，所以您不需要擔心電池會出現問題。除此之外，Keystone 專業版 這款產品還配備了可充電電池。

但是請注意 AAA 電池電壓不穩定，所以這種電池通常不會用於需要穩定電壓的產品，例如遙控器。支持 AAA 電池的選項比較適用於不經常使用的情況。如果您經常使用硬件錢包，我們建議您購買 Keystone 專業版 。

現在越來越多的人會買多個硬件錢包來應對不同的場景。 Keystone 專業版 這款硬件錢包擁有指紋傳感器，它可以用在咖啡館或機場等公共場所來處理業務，這樣就不會擔心您的密碼會被旁邊的人偷看或被監控攝像頭竊取到。同樣 Keystone 硬件錢包也支持用戶可以在設備中設置關閉解鎖和交易簽名的指紋認證。

當您隨身攜帶硬件錢包時，會更容易收到攻擊。基於這個場景 Keystone 專業版 這款產品設計了多層自毀機制，來防止設備受到旁路攻擊。當設備檢測到有人在拆卸它時，自毀機制會將您的私鑰信息和其他敏感信息立即清理掉，這樣攻擊者就無法從您的設備中提取到您的敏感信息。

Keystone 硬件錢包已經完成了和各類軟件錢包的整合，例如 MetaMask 桌面端、MetaMask 移動端、Rabby Wallet、Casa、BlueWallet 等。因此Keystone 硬件錢包可以通過與MetaMask 的綁定，支持所有適配於 EVM 鏈上的 Coin 和 Token。 （例如：Polygon - Matic、Avalanche - AVAX）。手機配套端的軟件錢包（Keystone Companion App）同樣也支持 BTC、ETH、USDT、BCH、XRP、TRON、LTC、DASH、DOT 和 KSM，也同樣支持 ETH 和 TRX 代幣。點擊此處可以看到手機配套端的軟件錢包（Keystone Companion APP）支持的 Coin 和 Token 列表。如果您只想使用比特幣這一個幣種，Keystone 硬件錢包同樣支持將您的 Keystone 標準版 或者 Keystone 專業版 升級成單幣種版本。

盲簽

在用硬件錢包進行簽署交易時，通常會連結一台在線設備，而這台在線設備的安全性往往是不確定的，需要用戶手動去檢查錢包上的交易信息。而市面上的大多數硬件錢包只能看到收款地址信息，並不能看到中間詳細的交易信息，很容易受到別有用心的人攻擊，這種情境通常稱之為盲簽。  而 Keystone 硬件錢包針對盲簽提供了一個目前市面上最好的解決方案，它可以讓用戶在簽名簽看到此次交易的全部信息，並進行標註。如果想了解關於盲簽的更多信息可以點擊此處。

ENS支持

ENS（以太坊名稱服務）是建立在以太坊區塊鏈上的命名系統。通過 Keystone 硬件錢包針對ENS 的技術支持，可以實現在使用 Keystone 硬件錢包進行簽名時，Keystone 可以清楚的顯示 ENS 地址及對應的名稱。更多關於 Keystone 與 ENS 相關的信息，可以點擊此處進行查看。

展示NFT

隨著 Web3.0 的普及，越來越多的人開始逐漸了解區塊鏈，隨之而來的就是 NFT 項目的爆發式增長，而 Keystone 硬件錢包也收到了大量用戶的請求，於是 Keystone 完成了與 NFT 的交互。如果您已經擁有了屬於自己的 NFT，那麼您就可以在您的 Keystone 硬件錢包上面展示您的頭像。請產看此頁面獲取更多教程。

Keystone 標準版 售價799 元人民幣，適用於想長期持有的用戶並附帶AAA電池支持。 Keystone 專業版 售價1199元人民幣，更方便攜帶並配備了可充電電池、指紋傳感器和自毀機制。在大陸地區下單的話可以包郵偏遠地區除外（新疆、西藏、內蒙古）。

購買鏈接

寫在最後

理論上，100%安全的錢包是不存在的，但是我們會一直向著這個方向努力。希望大家可以通過我們的努力可以看到我們想為大家提供一個更好更安全的產品並且希望同大家一起發展區塊鏈安全社區。如果要了解如何構建硬件錢包，請閱讀《 Keystone 硬件钱包的五個產品設計原則 》這篇文章。

目前Keystone 硬件錢包所有的型號都支持 Web Authentication，可以幫助產品驗證真偽。我們強烈建議您在收到設備時進行 Web Authentication 驗證，來防止供應鏈攻擊。

如果您希望我們增加其他功能，您可以需求發送至 support@keyst.one。

如果您對我們的產品有任何問題或一見，請在 Twitter @KeystoneCN 上給我們留言，並關注我們隨時了解最新消息。

本篇文章為大家闡述了 Keystone 硬件錢包的產品設計原則，從這些“原則”，大家可以看到我們是如何盡可能照顧到木桶的方方面面。

攻擊成本最大化

在展開所有討論之前，大家先要接受一個可能有些殘酷的事實：這個世界上，沒有任何產品/系統，是無法被攻破的。對於黑客來說，一切攻擊只是一個投入產出比的問題。如果某一個產品/系統，攻擊成本低，收益高，那就是一個值得黑客投入的事情。這里稍微扯遠一些，因為數字貨幣天生具有不同程度的匿名性，並且跨境資產轉移非常方便，所以在不考慮攻擊成本的情況下，攻擊數字貨幣項目的變現成本是最低的（或者說，偷了數字貨幣不容易被追蹤且容易“銷贓”——相比之下，盜取某連鎖酒店的用戶信息，“銷贓變現”就麻煩很多了），這也是為什麽現在全球最頂尖的黑客都盯著交易所——所以，我們一直建議，只把滿足你交易需求的幣量放在交易所，千萬不要用交易所來存幣。存幣還是建議用硬件錢包——自管私鑰。

說回“對黑客來說一切只是投入產出比”的問題，硬件錢包的作用，簡單來說，就是在不顯著增加用戶使用成本的前提下，盡可能地提高黑客的攻擊成本。

硬件錢包起到的第一個作用，是讓你的私鑰實現“脫網”。如果你的私鑰實現了“脫網”，那黑客對硬件錢包進行遠程攻擊的可能性就被大大降低。但是這里“脫網”為什麽要打引號，因為硬件錢包之間，“脫網”的程度是不一樣的。具體來說，大多數硬件錢包，在不使用的狀態下，是完全脫網的。但是一旦進入使用狀態，多數硬件錢包會通過USB線，或者藍牙，連接到一台聯網的手機或者電腦。雖然連接時間非常有限，但是此時的“間接聯網”的狀態是非常危險的。

這里 Keystone 為了進一步增加黑客的攻擊成本（也就是連那短暫的間接聯網機會也不留給黑客），我們通過二維碼及TF卡實現數據交互，從而盡可能地縮小攻擊面。並且，所有通過二維碼或者TF卡進出硬件錢包的數據，都是100%透明可審查的。

如果一款硬件錢包實現了更徹底的脫網（二維碼或者TF卡數據傳輸），另一個必須要考慮的攻擊面是供應鏈攻擊——給你送硬件錢包的快遞員可能會對你的錢包掉包。多數硬件錢包防護供應鏈攻擊的方式是在包裝上下功夫，比如貼上防拆貼紙，或者是用需要暴力拆開的包裝盒。這些手段能起到一定作用（Keystone也采用了相應的手段），但是從“攻擊成本最大化”的角度來說，這些其實對黑客來說只是“小菜一碟”。於是，我們引入了網絡驗證真機的環節，大大提升了黑客的攻擊成本。

如果大家關注海外比特幣社區的話，會注意到前段時間 Trezor 被 Kraken Lab 攻破以後，社區掀起了一場關於安全芯片的大討論。Ledger甚至發布了一篇言辭激烈的文章《不是所有芯片生而平等》（Not All Chips are Born Equal），矛頭直指 Trezor 以及其他從 Trezor 分叉出來的硬件錢包，沒有使用安全芯片的情況下，會面臨極大的物理攻擊（旁路攻擊）的風險——黑客如果可以盜取到你的Trezor，大概只需要十五分鐘，配合幾十美元的攻擊設備，就能獲得你的私鑰。Keystone 為了防護物理攻擊（旁路攻擊），也使用了安全芯片，但是基於“攻擊成本最大化”的原則，Keystone 還引入了在成熟銀行產品上已經被廣泛使用的拆機自毀機制——一旦 Keystone 檢測到暴力拆機，就會自行擦除私鑰的敏感信息，並且變磚不可再使用。

信任最小化

大家知道，傳統金融世界建立在中心化系統之上，高度依賴對單一個體（或若幹個體）的信任，一旦信任崩塌，會引起一系列的連鎖反應，從而造成大面積的金融海嘯。曾經的安達信會計師事務所，就是中心化信任模型中的典型失敗案例。2009年，中本聰舉起了去中心化的大旗，開啟了一場影響全球的去中心化的運動，從此，“代碼即法律”的概念也開始進入人心——信任不再是虛無縹緲的東西，信任來自於可審計的代碼。

秉承中本聰先生對比特幣的設計初衷，我們作為一款數字貨幣硬件錢包，也踐行了信任最小化的設計原則。這里為什麽是“信任最小化”而不是“零信任”，因為如果要做到硬件錢包的“零信任”，唯一的解法就是用戶自行審核我們公布出來的開發資料（電路原理圖，驅動代碼，系統代碼，固件代碼等等），自行打造一台硬件錢包——自己畫電路板，焊電路板，燒錄驅動，燒錄系統代碼應用代碼還有安全芯片固件。這對於絕大多數用戶來說是不可能的。所以我們只能做到盡可能的信任最小化。

實現信任最小化的第一個點其實前面已經提到，就是使用二維碼和TF卡的數據通訊方式，做到出入硬件錢包的信息全部可審計，用戶不需要“信任”傳輸信息不可見的USB或者藍牙傳輸。

為進一步實現信任最小化，我們甚至開源了安全芯片的固件代碼（行業中並無先例）。雖然安全芯片的芯片設計和底層源代碼無法開源（因為這些都是安全芯片廠商的知識產權），但是開源出來的安全芯片固件代碼，足以讓用戶驗證這些關鍵信息： 1）如何從隨機熵值生成助記詞，進而生成主私鑰 2）所有私鑰和公鑰的派生 3）私鑰簽名過程全部發生在安全芯片內 4）私鑰一旦生成，永遠不離開安全芯片

開源安全芯片固件後，依然有三個功能點用戶無法通過檢查代碼來驗證（這些功能都是安全芯片廠商在芯片設計或者底層代碼實現的）：

1）真隨機數生成（TRNG）

2）簽名算法比如 ECDSA

3）安全芯片如何防禦物理攻擊（旁路攻擊）

但是這三個功能點，用戶都可以通過別的方式進行驗證。 1）真隨機數生成。用戶可以自己運行FIPS 140-2來驗證其隨機性。Trezor曾經也做過相關測試。另外，我們允許用戶自行投擲骰子來生成隨機熵值，進而生成助記詞和私鑰，從而“繞過”了真隨機數的功能，用戶無需信任安全芯片的真隨機數生成器。

2）簽名算法比如 ECDSA，這一部分的驗證，需要依賴一定的專業知識，我們可以提供安全芯片的開發板給感興趣的研究人員進行驗證並公布相關結果。

3）安全芯片對物理攻擊（旁路攻擊）的防禦，我們可以從硬件錢包的攻擊歷史來看，雖然無法得到“安全芯片可以抵禦一切物理攻擊（旁路攻擊）”的結論，但是相比通用MCU，安全芯片對物理攻擊（旁路攻擊）的防禦能力，是遠遠超出的。此外，研究人員也可以向我們申請安全芯片的開發板，用於驗證其對物理攻擊（旁路攻擊）的防禦能力。

我們在很早以前的一個線上 AMA 就分享過，開源不是一件一蹴而就的事情。開源前需要經過嚴格的代碼審核，開源後需要隨時與開發社區互動，才能在開源的同時盡可能縮小攻擊面。部分硬件錢包為了開源而開源，是一種不負責任的做法，“只是把肚皮翻給黑客看罷了”。目前，我們已經開源了硬件電路的設計，未來，我們會繼續開源系統層的代碼。

此外，我們支持了PSBT後，還將努力推動 PSBT 多簽在社區內的普及。PSBT多簽的意義在於，可以實現多款不同品牌的硬件錢包之間進行多簽。這樣能夠大大降低用戶對某一品牌的硬件錢包的信任。同時也避免了某一款硬件錢包的“單點失敗”。

人為失誤不可忽視

2019年底公布的統計數據顯示，相比於2018年，美國本土的比特幣擁有者增長了81%。目前全美有 3650 萬的數字貨幣持有者。越來越多的新人正在進入這個領域，這無形中放大了“人為失誤”在丟幣事件中的影響。目前的已知數據是，由於人為失誤，已經有至少 400 萬枚比特幣將永遠無法使用。

但遺憾的是，硬件錢包誕生的這些年來，硬件錢包廠商往往將大多數注意力放在了技術層面的安全。比如代碼的魯棒性，比如安全芯片的使用。整個行業對硬件錢包“用戶體驗”的關注非常少。但往往正是用戶體驗的短板，導致了人為失誤進而造成了丟幣。今天，硬件錢包已經不再是極客用戶才會使用的產品，普通用戶也開始使用硬件錢包，我們在設計硬件錢包時，也必須把人為失誤也納入考量，打造更好的用戶體驗，從而避免用戶丟幣。

Keystone 在這方面，做了如下改進：

1）Keystone 只提供了移動端的配套App，並未提供桌面端App。因為普通用戶並不擅長鑒別釣魚網站，很容易下載到被黑客篡改過的桌面端App，然後黑客可能會通過篡改收幣地址等手段，造成用戶的丟幣。但畢竟移動端App無法完成一些覆雜的交互，所以針對高級用戶，我們也適配了 BlueWallet，MetaMask 等第三方錢包，從而滿足高級用戶的需求。

2）Keystone 配備了一塊4寸觸摸屏。這樣就能讓硬件錢包的體驗盡可能接近手機的體驗，從而盡可能避免用戶操作失誤的概率。此外，因為大屏的緣故，用戶可以看到更多的提示信息——比如可以方便地檢查找零地址是否被黑客替換；用戶還能獲得更好的輸入體驗——比如可以讓用戶兩次輸入密語（passphrase），從而避免輸錯密語然後用錯誤的地址收幣。這些，都極大程度上避免了人為錯誤的可能行。 盲签问题也能够得到显著解决。

3）市售版本的 Keystone 只能安裝我們官方發布的固件升級包。現在市面上的大部分硬件錢包都支持用戶自行修改代碼，編譯代碼，然後對升級包進行簽名，並上傳到硬件錢包內。這樣給極客用戶帶來了極大的定制空間可以打造自己的硬件錢包，但同時也打開了很大的安全敞口：黑客可以主動接觸那些在網上提問的小白用戶，誘騙小白用戶安裝黑客篡改過的固件升級包（即使升級過程中會有提示但還是存在一定概率黑客欺騙成功），進而被盜幣。為了縮小這樣的風險敞口，市售版本的 Keystone 只允許用戶安裝官方簽名的固件升級包。

避免“單點失敗”

去中心化系統的核心价值之一，就是它不會因為一次“單點失敗”就導致系統全線崩潰。硬件錢包的核心設計原則同樣如此。就像文章開頭說的那樣，一個木桶能放多少水，取決於木桶最短的那塊木板。我們在設計 Keystone 時，從多個角度去规避“单点失败”的問題：

1）Keystone 支持分片助記詞。您可以將助記詞拆分成三份，輸入其中任意兩份即可恢覆錢包。此功能是基於 SaotoshiLabs 提出的 SLIP39 Shmir’s Secret Sharing 協議進行設計。同時建議您將分片助記詞保存在三個不用的地方，避免有人一次性盜取三份助記詞。

2）我們支持使用可拆卸的 AAA 電池，因为大多数用户不了解如何安全地储存电池。大多數電子產品不是為長期存儲而設計的，但是硬件錢包的使用卻是長期的甚至需要終身使用。所以我們認為硬件錢包不應該依賴單一類型的電池，因為如果可充電鋰電池出現故障，AAA電池可能會變得至關重要。

3）對抗“單點失敗”的必殺技——多重簽名。如果您對比特币多重簽名了解不多，強烈建議您阅读这个教程。如果您需要用多签对您的以太坊或者其他 EVM 链的资产进行保护，请参考这份教程。

互操作性至關重要

我們認為更準確地称呼“硬件钱包”的方式应该是“離線簽名器”。我們正在使 Keystone 與盡可能多的軟件錢包兼容。這樣做有幾個好處：

1）使盡可能多的軟件錢包兼容，從某種方面避免了“單點失敗”，如果一個軟件服務暂停了服务，用戶可以切換到另一個兼容的軟件錢包中繼續使用。

2）兼容更多的軟件錢包可以滿足不同的用戶需求。比如支持通过与 Wasabi Wallet 的整合实现比特币混币，与 MetaMask 桌面端和移动端的整合实现对 Web3 的支持。并且，Keystone 兼容网页端的 DeFi 項目，例如 Sushiswap。

3）這樣的策略可以讓我們團隊專注在最關鍵的環節——如何確保用戶安全地進行簽名。一個典型的例子就是 Keystone 可以對 DeFi 交易進行解析，確保用戶清楚地知道自己正在簽一筆什麽樣的交易。

我們非常讚同 Andrew Hong 的可組合錢包 的想法。一個好的硬件錢包應該關注4個安全層面的問題：密鑰對的生成，錢包恢复，交易或信息的簽名，利用 ABI 做智能合約的交易解析。

寫在最後

除了以上提到的產品設計原則和改進點。還有一些我們特別期待的提升點：

1）拋棄所有的通用MCU，用安全芯片控制所有的輸入和輸出（攝像頭，鍵盤，屏幕等等），從而消除了通用MCU這個最大的攻擊面。這樣從安全芯片的角度，實現了“信任最小化”。

2）全開源安全芯片，這將把“信任最小化”提升到一個全新的高度。谷歌正在做相關的研究和開發。

開篇提到了“木桶原理”，把硬件錢包的安全性看成是一整個木桶，然後分析了木桶的短板和我們的產品設計原則，但如果我們從一個更高的視角來看“保護數字資產”這件事，其實硬件錢包只是這個大木桶的其中一塊板。這個大木桶的其他木板包括——如何安全存儲你的助記詞，如何保護你在互聯網上的隱私，當意外發生時讓如何你的親人可以安全繼承你的數字資產，等等等等。

從 Keystone 的角度來說，造出一款硬件錢包不是我們的使命，我們的使命是幫助用戶安全地保護數字資產。所以大木桶的其他這些木板（話題），我們未來會通過科普教育的方式來與大家一起交流提升。這也是我們的責任。歡迎大家通過推特 @KeystoneCN 給我們提意見，感謝大家！