重要的是专机专用，别拿日常用的手机电脑管币。

撰文：闪电

硬件钱包又出大事了，Ledger 钱包有经销商卖出的硬件钱包被人为植入芯片，可以偷币。有人发 X 帖子（注意不是官方说的）说是在 Ledger 屏幕下面藏着一块电路板，能在你抄写助记词的时候把它偷走、发出去。

现在据说被偷的金额超过了 9000 万 U 了，涉及 300 多个钱包。

很久以前，我就写过不看好硬件钱包的文章，《使用专用的 iPhone+ 钱包 App 比使用硬件钱包好》。

当时那篇我觉得：一台专用的 iPhone，装一个钱包 App，安全性足够了。

但现在我觉得不够了。AI 太强大了。攻击者手里的工具多了：钓鱼页做得更像，假客服说得更像，骗局可以一人一样地批量定制，那些我们看不懂的 0day 漏洞，都能被 AI 放大威胁，更多我们普通人根本想不明白的攻击都被 AI 放大。

但我们也可以用 AI 来加强我们的防御。

一、用多签，钥匙分在不同设备、不同钱包里

先还是否定几年前我说一台设备就够的观点，我觉得现在还是要用多台设备搞多签才够安全，单点被突破的风险还是太大了，哪怕是你天天关机，只是用的时候才开机。

对于需要经常动的币，还是用多签吧。多买一个设备，多管几个私钥，安全就多几份。起码得 2-of-3 吧。

以太坊等 EVM 系有 safe.global，好用的很。一台 iPhone 装上一个钱包 App，顶一把私钥，一台 Mac 装上 Chrome+ 插件钱包，顶第二把私钥，第三把私钥在 iPhone 上生成备份好删除掉。

这样除非你的 iPhone 和 Mac 同时出事，这样就安全好多。

比特币这种长年都不需要动的东西，也不需要上什么网站，搞什么 DeFi，唯一的用处就是去交易所充值提现。我感觉可以不用多个设备多签。

我感觉这个办法已经足够安全了，使用 Bitcoin Core 节点钱包，买一台专门的 MacBook 安装 Bitcoin Core，再加一块 2 TB 的硬盘来下载区块数据。风险已经可以降到很低很低了，因为比特币太简单了，攻击点很小。

虽然 BTC 也有多签钱包，但我总感觉品牌度不够，比特币脚本原生自带的多签方案又需要太多的技术门槛，搞不好自己的币都被当成了矿工费了。

重要的是专机专用，别拿日常用的手机电脑管币。特别是别装 AI。

下面还是分享下我觉得 AI 在管币上能帮上什么忙。

二、让 AI 帮你出托管方案

投资都是个性化的，托管币的方案其实也是个性化的。我以前费了牛劲写过很多自己管理钱包的方案，现在 AI 来了，这些具体的方案感觉真是不值钱了。

托管方案已经不用去找别的文章了，直接跟 AI 聊。

把自己的情况和 AI 讲清楚，资产分几层，哪些常用、哪些几年不动；多久动一次；用哪些链；你能接受多复杂的操作；万一你出事，家人怎么接手。

让它出方案。然后换个角色，让它扮演一个想偷这笔钱的人，告诉你从哪一环下手最容易。改完再攻，来回几轮。

我们太信任 AI，可以将电脑完全授权给 AI，所以托管币的电脑和手机，千万别装 AI。这一点 真的要特别注意，AI 太强大了，我们太弱了。

还有，让 AI 知道我持币，安全吗？

我的看法是，比你买硬件钱包时让经销商知道，安全得多。经销商知道你的姓名、电话、住址，还经手了你私钥出生的那台设备。你一下单，这些就躲不掉。

其实，最大的安全还是没人知道你持币。今天这做不到了。交易所知道，卖设备的店知道，链上的地址谁都能看。能选的只是：谁知道，知道多少。信 AI，总比信特定的个人强。

三、让 AI 查网址和 App 的来源

搞币，总离不开各种网站，特别是搞 DeFi，总有一堆网站要访问。

我以前的规则是，对于任何网站，都要从三个不同的信息源来验证域名是否正确。常见的信息源如 ethereum.org/bitcoin.org 这样的官网和 CMC 收录了没；Google 查了没；x.com 查过了没；问过真正信得过的朋友没。

现在好了，有 AI 了，问过 AI 没？

检验域名这种，AI 太擅长了，而且用免费的，Gemini，ChatGPT,Grok，豆包，分别问一次，这可以作为重要的核查方式之一。最好是用收费的，并且将推理强度直接拉到最高去问。

App 也一样。下载钱包 App 前，把 App Store 的页面截图发给 AI，AI 给你检验的明明白白的。像 Chrome 的插件钱包也一样要让 AI 检查一遍。

问 AI 的具体问法也简单的要死，你就问它是不是正规的。我现在点任何新域名，下载新的 App，都会问 AI 一遍，这玩意是正规的吗。

四、签名之前，拍照给 AI

这是我这次最想分享的一条。

其实，现在对于大多数普通交易，如转币、授权、和主流合约交互，等的交易，MetaMask 在签名界面里都会展示交易具体含义，你签名之前认真读，就能明白这次签名前后你的钱包会有什么变化。

类似于 to、value、data、nonce 这些字段，现在的钱包都解释的很好。

几年前可没这么好命，那时候的钱包界面在签名那一个动作界面里能看到的都是一串一堆 00、fff、1234 这样的乱七八糟的字符。

当年有一个 4byte.directory 里的网站，我老去那里粘贴交易签名内容，查看交易发生了什么。

如果你现在还是不是很清楚什么叫交易签名，看不懂这些签名内容，不放心你的交易，那现在有 AI 了，AI 可以教会你看这些。

在签名前的那个钱包弹出的界面，拍照或截图给 AI 读，放心，这个界面没有私钥，没有助记词，这个界面里的内容在你点完确认后就会全网公开。AI 的解读，会清晰告诉你，你签名后你的交易会发生什么。你就知道你是不是被钓鱼了。

我觉得，拿一个测试钱包，完整的让 AI 给你解读你操作的每一步界面，真的大有好处。也不要直接在真实的生产当中让 AI 读你的每一个截图，我说的只是测试钱包，先用 AI 学会来读钱包各种操作的具体含义。

在真实的生产当中，不要在钱包所在手机和电脑安装 AI，如果非要让 AI 解读你的交易签名内容，请用拍照的方式。

在使用 Safe 钱包时，Safe 钱包本身会做很多交易内容的解释，但到了 MetaMask 签名阶段，交易信息又不清楚了，如果你害怕，就可以将那一堆 00、fff 什么的内容，这些内容是可以发给 AI 解读的，一解读你就知道你的交易签后会发生什么了。

用 safe 时，Safe 钱包本身对交易的解释不是最终的，MetaMask 签名那个界面的解释才是最终的，Bybit 那一笔被盗就是 safe 解释页面就是被篡改的，所以一定要以 MetaMask 弹窗的交易字段解释为准。

五、让 AI 替你盯安全警告

还有一个有 AI 后可以做的事，让 AI 盯着你关心的硬件、软件、合约、平台是否有漏洞报告和安全公告。

现在 Grok bot 可以完美监控 x.com，你可以将你关心的 x.com 账号让 Grok bot 监控起来，给 Grok bot 一组 X 账号，如 MetaMask、慢雾、Lido、……让 Grok bot 盯着它们是否发布了安全相关的帖子，如果有给你发邮件。

另外，如果真收到警告，自己去官方渠道核实，别点邮件和帖子里的链接。小心别钓鱼。当然派一个 AI 去核实也是可以的。

你做重大财务转账时，先读一下这个邮箱。

结尾

我觉得 AI 最终会是向善，让我们的网络环境变得更安全。