币安被盗 63 亿美元，冷钱包也不再保险：加密资产究竟放在哪里才安全？

面对全行业有史以来最黑暗的资产安全危机，澳洲知名链上研究员兼 Crypto Super Hub 联合创始人 Jake Pahor 撰写了这篇详尽的资产托管与风控复盘指南。他不仅客观拆解了币安 50 笔预签名提现权限遭窃的底层技术成因与朝鲜黑客手法的演变，更从个人与机构视角，系统梳理了全自托管、协作多签（Unchained、Casa、Nunchuk、Bitkey）、中心化交易所与比特币现货 ETF 四大路径的利弊得失与对应风控手段。 对此进行了全文深度编译，在黑天鹅频发的当下，为每一位投资人提供一份兼具实操性与清醒底线的资产安放指南。

在如何安放自己的加密资产这件事上，我从未感到如此迷茫与不确定。

上周五，黑客从币安洗劫了约 $63 亿美元，创下了加密货币历史上规模最大的一次盗窃纪录。我并没有急着转移自己的比特币。我个人并没有币安的资产敞口，但我确实第一时间核实了自己所使用的澳大利亚本土交易所是否遭遇波及，万幸一切安全。

我认为，在承受极端压力时，人们能犯的最糟糕错误往往就是慌乱行事。人在匆忙与恐慌之下极易做出致命的误判，这是难以克服的人性弱点。正如那句格言所说：慢即是顺，顺即是快。

这也是我写下这篇文章的初衷：帮助投资者规划好自己的资产托管策略，并对可能出现的每一种极端场景做到心中有数、应对自如。接下来，我将逐一剖析每一种持有加密资产的路径、其伴随的潜在风险，以及针对各项风险的具体风控应对方案。

事件复盘

攻击者攻破了币安的热钱包系统，即那些连接到互联网、专门用于处理日常用户提现的基础设施。币安官方表示，入侵始于一名 DevOps 运维工程师被黑客控制的笔记本电脑，目前尚未发现私钥泄漏的证据。但根据链上情报机构 TRM Labs 的研判分析，攻击者其实根本不需要私钥，因为他们已经完全控制了负责签署提现指令的核心系统。

据 CoinDesk 报道，攻击者在单笔交易中塞入了来自同一个币安钱包的 50 个预签名授权指令，精准对应其序列中即将生成的每一个序号，这意味着无论后续触发哪一个序列号，提现都已被提前批准。TRM Labs 监测显示，绝大部分资金在短短 20 分钟左右便被洗劫一空，横跨 10 条主流区块链网络。

由于中心化稳定币具备黑名单冻结功能，窃贼为了赶在 Tether 和 Circle 反制之前将资金洗走，不惜支付比市场价高出 10% 以上的溢价，强行在去中心化交易所将部分资产兑换为 ETH。即便如此，在最大单笔提现发生后的约 40 分钟内，发行方依然成功冻结了约 $18 亿美元资金。

图：币安被盗资金链上流转与冻结时间线梳理

在事发数小时内，币安迅速表态将动用自有资金全额兜底所有损失。10 月 31 日，美国联邦调查局（FBI）正式点名该起攻击系朝鲜知名黑客组织 TraderTraitor 所为。截至 11 月 2 日，币安已重新开放了包括比特币在内的 15 条网络的充提通道，并继续对其余网络进行压力测试，其完整的准备金证明预计将于周二前公布。

值得警惕的是，同一个黑客组织在 2025 年 2 月还曾对 Bybit 下手，当时卷走了约 $15 亿美元，创下了直到上周五之前的历史最高纪录（FBI 数据）。那次攻击直接攻破了多签冷钱包，且发生在看似极其常规的内部转账过程中。Safe 在 2025 年 3 月的复盘报告中指出，攻击者篡改了签名人使用的网页前端代码，导致多签审批人在屏幕上看到的是一笔正常交易，但实际批准的却是另一笔盗币指令。这表明，多重签名唯有在每一位签名人都能真正严密核验底层签名内容的前提下，才能起到保护资产的作用。

两种托管路径在今年双双遭遇重创

不仅中心化机构遭遇洗劫，自托管路线在今年同样遭受重创。自 7 月份以来，Coldcard 与 Ledger 的用户已累计损失约 $2 亿美元，前者源于固件缺陷漏洞，后者则是由于经销商销售了被恶意植入硬件木马的篡改设备。根据 TRM Labs 截至 10 月 30 日的统计，2026 年全行业被盗加密资产总额已达 $87 亿美元，成为有史以来资产安全形势最为严峻的一年。

对于这两种路径，我都拥有非常丰富的实战经验，无论是完全自托管，还是在合规交易所存放巨额资金。我深知两者的优缺点。核心关键不在于非黑即白的站队，而在于深刻理解每种托管方式的致命软肋，并为此建立起坚不可摧的风控隔离。

自托管的风险与风控措施

• 访问权限丢失：澳大利亚税务局（ATO）曾在 2025 年 5 月 27 日指出，自主管理养老金（SMSF）受托人因遗忘或丢失密码而导致加密资产永久灭失的情况屡见不鲜。对应风控：在物理隔离的异地存放安全备份，并准备一份可由指定继承人遵照执行的清晰书面恢复流程指南。

• 助记词钓鱼诈骗：假冒 Ledger 官方的实体钓鱼信件诱导用户扫描二维码并输入助记词（Cointelegraph，2025 年 4 月 30 日）。对应风控：永不在任何手机、电脑或网页输入助记词，助记词物理介质绝不上网。

• 供应链篡改设备：个别分销商售出的 Ledger 硬件钱包被恶意植入了硬件木马，在设备初始化设置阶段便暗中截获了 24 个助记词（The Block，2026 年 10 月 13 日）。对应风控：必须直接从官方硬件设备制造厂商处原厂采购，绝不经由第三方经销商。

• 固件缺陷漏洞：Coldcard Mk4 遭遇固件漏洞曝光，其缺陷可能允许物理接触设备的攻击者在 30 秒内直接提取出助记词种子（The Block，2026 年 7 月 31 日）。对应风控：使用多签方案，在不同签名设备上混合使用不同厂商生产的硬件钱包，消除单点固件依赖。

• 入室抢劫与人身威胁：在墨尔本，一名加密投资者在住宅内遭遇入室抢劫，被迫交出价值 $400 万澳元的加密货币（The Age，2025 年 8 月 18 日）。对应风控：配置附加密码短语（Passphrase），设置虚假余额诱饵账户；核心大额资产采用跨地域多签，单人在本地物理上无法完成转账。

• 受托人意外离世：若缺乏详尽规划，受托人一旦遭遇不测，其家属将完全无法触达资产，甚至产生巨额税务合规纠纷。对应风控：制定具备法律效力的加密遗产规划方案，明确各私钥持有人的指定职责。

自托管的终极优势在于：没有中介机构能够限制你的提现，没有任何第三方能够擅自挪用你的资金，更不会出现任何针对中心化资金池的大规模挤兑溃败。

但它最残酷的代价也正在于此：每一项防御风控措施都必须由你本人 100% 独立承担。没有任何客服热线可以拨打，一旦出现失误，没有任何人能帮你追回一分钱。

交易所托管的风险与风控措施

• 交易所被盗或倒闭破产：正如上周五币安遭遇的 $63 亿美元洗劫，以及当年 FTX、Mt Gox 的轰然倒塌。对应风控：优先选择受当地法律严格监管、具备独立客户资金信托隔离账户、定期披露完备审计准备金证明，且具备充足资本偿付能力的合规持牌交易所。

• 账户盗号接管：黑客通过 SIM 卡劫持（SIM-swap）或凭据撞库攻击攻破个人账户。对应风控：彻底弃用短信 SMS 验证码，绑定诸如 YubiKey 等物理安全密钥作为唯一二次验证手段，并开启白名单提现地址锁定及延时提款保护机制。

• 账户风控冻结：交易所反洗钱风控算法自动触发风控，毫无预警地冻结账户并要求繁琐的资金来源证明，有时耗时数周甚至数月。对应风控：在多家不同的持牌合规交易所开设备用账户，分散存放运营资金，确保随时具备出入金通道冗余。

• 监管政策突变：监管部门勒令叫停特定币种交易或强制下架提现。对应风控：密切追踪所处司法管辖区的监管法规动态，将长期核心底仓资产及时向去中心化链上环境转移。

将资金存放在优质交易所的显性优势在于：不仅操作极其便捷、拥有完善的客服支持体系，且具备现成的法币出入金通道，对于需要定期审计的机构和信托基金而言，其财务报表和税务凭据极为规范透明。

然而其致命软肋也人尽皆知：你手中持有的本质上只是交易所账本上的债权借据。你的资产直接暴露在中心化巨额热钱包系统性被盗的巨大靶心之下。

是什么改变了我的想法

长期以来，我一直秉持着一个朴素的观点：只要你在交易所账户上启用了 YubiKey 物理硬件密钥，绑定了严格的提现地址白名单，并且只选择信誉顶级的合规平台，那么中心化交易所就是普通投资者最安全且最省心的归宿。

但上周五发生在币安身上的灾难，彻底动摇并打破了我这一预设立场。

这并非一起因为用户个人安全疏忽导致的个别盗号事件。这是世界上资本最为雄厚、技术与安全预算最为庞大的加密货币交易所巨头，被黑客直接攻破了其底层热钱包的提现审批控制流，短短 20 分钟内被卷走了 $63 亿美元。

面对如此规模的内部系统失守，即使用户在客户端把安全设置拉到最满，也根本无能为力。

图：不同加密资产托管方案的风险与控制措施对比

多签机制：折中的中间方案

在完全自托管与纯交易所托管之间，是否存在一个兼具两者优势的中间地带？答案便是多重签名（Multi-sig）协作托管。

对于个人或自主管理基金（SMSF）而言，最普遍的架构是 2-of-3（3 签 2）模式。例如，你本人持有两把独立的私钥，专业托管服务商持有第三把私钥。日常转账由你自己持有的两台设备签署完成，服务商无需介入；但若你不慎遗失了其中一把私钥，服务商便可以在身份严格核验通过后，协助你动用备用密钥恢复对资产的控制权。

以下是目前市场上主流的多签协作托管提供商方案：

图：主流多签协作托管提供商方案与架构参数

• Unchained：采用 2-of-3 架构，由 Unchained 团队托管其中一把密钥。基础年费约 $250 美元起；其核心优势在于提供专为自主管理基金（SMSF）与家庭信托定制的合规方案，能够出具极具公信力的年度资产证明以满足合规审计要求。

• Casa：经典的 2-of-3 协作多签体系，由 Casa 团队协助管理一把备用密钥。个人方案年费约 $250 美元，内嵌数字遗产继承模块；不过其官网目前并未明确列出针对 SMSF 或机构信托的专属产品线。

• Nunchuk：提供完全免费的自主 DIY 多签工具，同时也提供自 $120 起的协助型 2-of-3 方案。其特色在于通过智能合约时间锁（Timelock）实现去中心化继承功能，继承人在达到时间阈值后无需依托 Nunchuk 官方介入即可自行申领资产。

• Bitkey（由 Block 推出）：将你的手机客户端、实体硬件硬件设备与 Block 云端服务器组建为 2-of-3 多签。这几乎是上手门槛最低的简易多签方案，澳洲官网售价约 $400 澳元，内置 6 个月时间锁延迟继承机制；但其用户协议仅面向个人，不适用于 SMSF 机构基金。

• Sparrow：开源且完全免费的极客级桌面客户端。你需要完全依靠自己的多台硬件钱包搭建多签，没有任何第三方机构参与保管。这是技术掌控度最高但也最具挑战性的模式：你必须自行妥善保管所有密钥备份以及最核心的多签配置文件（Wallet Configuration）。

不过，在涉及自主管理养老基金（SMSF）时，这里存在一个硬性的法规门槛：根据澳大利亚税务局（ATO）在 2025 年 10 月 24 日发布的指引，基金所持有的加密资产必须存放于基金独立名下的专属钱包中，且必须与受托人个人的资产完全物理隔离；基金审计师必须能够明确核实该资产真实存在、确凿归属于基金且估值清晰准确。对于纯自托管，这意味着受托人必须通过链上签名消息或发起一笔受控的微额测试转账，并向审计师出示完备的托管制度文件，明确约定每把密钥的持有主体以及在遭遇意外或分歧时的处置预案（Bentleys，2026 年 9 月 14 日）。

至于究竟谁有资格持有密钥，目前监管机构尚未给出死板的一刀切限制。以我个人的审慎理解：如果在 2-of-3 架构中，两名受托人各持有一把密钥，那么他们无需借助外部力量即可独立完成合法签名，这高度契合了 ATO 对基金完全掌控资产的合规诉求。反之，如果每一笔支出都必须依赖非受托人的外部第三方密钥才能完成，那么这种对资产的控制权证据就会被严重削弱。无论如何，最终的合规性都需要基金审计师根据个案事实进行逐项确认。

这也正是我目前尚未彻底定论的关键症结：我尚未最终选定，自己究竟愿意把那另一台关键的签名设备托付给哪一个绝对信任的人。

另一条路径：比特币现货 ETF

澳大利亚自 2022 年 5 月起便推出了比特币现货 ETF。目前全澳至少有 6 支现货产品在交易，管理费率大致介于每年 0.25% 至 0.49% 之间。

• 现货 ETF 的显著优势：投资者直接持有的是基金产品份额，而非原生比特币代币，因此彻底免除了丢失私钥与助记词的后顾之忧。对于 SMSF 基金而言，持仓份额在每年 6 月 30 日直接按照官方收盘价核算公允价值，税务和审计报表与持有普通上市公司股票无异，极其便捷。

• 现货 ETF 的客观弊端：在每年 0.45% 的管理费侵蚀下，持有 10 年后每份基金份额所对应的实际底层比特币数量将缩水约 4.4%。此外，ETF 仅在传统证券交易所的营业时间内开放交易：例如币安的黑客攻击发生于布里斯班时间上周五清晨 6 点 05 分，距离澳洲证券交易所（ASX）开市还有整整 3 个小时。更重要的是，绝大多数现货基金并不支持向散户投资者实物兑换提取比特币，且全美超过 80% 的比特币和以太坊 ETF 底层资产，高度集中在同一家美国托管商手中。

坦白讲，我向来不是 ETF 产品的狂热粉丝，但在经历了今年一系列接二连三的安全黑天鹅之后，ETF 对于追求极致省心与合规的投资者而言，吸引力确实在显著上升。如果某位投资者希望采取完全甩手的无感投资策略，我完全能理解他们选择 ETF 的逻辑。但请务必清醒认识到：ETF 背后的底层资产依然需要专业托管机构代管，而这些托管机构同样存在被黑客攻击的物理可能；根据某家美国现货基金的披露文件，该基金及其发起人并未对其保管的比特币提供全额保险兜底。

我目前的资产配置安放处

截至目前，我的大部分加密资产依然安放在一家受严格监管的本土中心化交易所中。做出这一选择的核心考量，在于资金调配的便捷性、清晰的审计链路以及财年结束时简便透明的税务报表处理。更为关键的是，一旦我遭遇不可抗力的意外变故，同为基金受托人的我的妻子能够毫无障碍地接管账户并触达资金。

坦率的真相

本文列出的每一种资产保管路径，都有发生灾难性失效的可能。这世上根本不存在一个绝对完美的万能解药；有的只是你主动选择承受的特定风险类别，以及你为对冲这些风险而亲手建立起来的防线措施。这便是我在当下深思熟虑的推演框架，绝非给任何人的财务投资建议。

慢即是顺，顺即是快

我习惯在极端压力与黑天鹅真正来临之前，把关键的大决策提前推演制定完毕，这样当风暴骤起时，我便绝不需要仓皇做出任何仓促决定。我的建仓加仓逻辑亦是如此：交易计划必须写在突发新闻爆发之前，这样周五那样的至暗时刻才不至于打乱我的阵脚。