本文目录一览：
- 1、面对无孔不入的黑客，自己的币应该放在哪里？
- 2、在哪些网站可以了解EOS
- 3、stararknft安全吗
- 4、鲸交所是否安全？
- 5、能说一下钱包安全审计是什么吗？这阵子都在说时代安全，他们的钱包安全审计好不好用？
面对无孔不入的黑客，自己的币应该放在哪里？
近几个月间断性出现行情暴跌，究其原因是因为黑客攻击交易所，造成大量损失，竟而发生恐慌性抛售，致使币价暴跌，市面上的交易所，都是中心化交易所，一般情况下币的安全性，是没有个人钱包安全的，那么问题来了，我们如何选择适合自己的钱包，保护好自己手中的币呢？
现在市面上的钱包，基本上分为2大类，1类是热钱包，1类是冷钱包。现在大多数币友，都用的热钱包，相较于冷钱包来说，存取币都更方便，但是按照相对安全性来说，肯定是冷钱包的安全系数更高些，那么下面就跟大家分享一波，市面上主流的钱包。
一.热钱包篇
比特派钱包（国产）
安全性：优
易用性：优（支持中文）
1.助记词也可以用中文2.支持BTC、ETH、EOS等多种主流货币3.支持场外交易。
缺点：页面布局不够简洁，并且在更换币种的时候，顶部的显示较小。
Kcash（国产）
安全性：优
易用性：优
1.支持BTC、ETH、EOS等多种主流货币2.有“红包”功能3.有类“余额宝”功能
缺点：在“发现”栏里带第三方活动推荐，点击会提示跳出APP，体验不是很好。
Imtoken（非国产）
安全性：优
易用性：次优
1.支持ETH系的币种。2.新币上线的主流发币钱包
缺点：货币支持不全面，BTC不支持。
二.冷钱包篇
TREZOR（非国产）
安全性：极优
易用性：中
中国大陆没有直接售卖，需要找代购。2.说明书都是英文。3.支持币种较少。
缺点：硬件本身操作都是英文，对大多国内朋友不是很友好。
小白建议，币不多的情况下，可以考虑使用热钱包，日常使用也方便，安全性也会高过市面上的中心化交易所。
在哪些网站可以了解EOS
去他们的官方网站了解
EOS 为区块链奇才 BM （Daniel Larimer）领导开发的类似操作系统的区块链架构平台，旨在实现分布式应用的性能扩展。EOS 提供帐户，身份验证，数据库，异步通信以及在数以百计的CPU或群集上的程序调度。该技术的最终形式是一个区块链体系架构，该区块链每秒可以支持数百万个交易，同时普通用户无需支付使用费用。
什么是EOS？
区块链技术源于 2008 年的比特币白皮书，自那时起，创业者、开发者和爱好者们一直在努力推广这项技术，以便可以让更多现实应用在区块链平台上得以实现。但目前区块链技术还存在一些技术瓶颈，比如：支付网络处理交易能力有限、交易手续费过高、交易网络容易受到 DDoS 攻击等等。
EOS 是一种新的区块链架构，旨在实现分布式应用的性能拓展。EOS 项目的目标是实现一个类似操作系统一样的支撑应用程序的区块链架构。该架构可以提供账户，身份认证，数据库，异步通信以及可在数以百计的 CPU 或群集上的程序调度。该技术的最终形式是一个块链体系架构，该区块链每秒可以支持数百万个交易，同时普通用户无需支付使用费用。
有关 EOS 项目的详细介绍，请参考 EOS 技术白皮书。
stararknft安全吗
不太安全。
NFT一个不太突出的方面是，它们是建立在智能合约之上的，而智能合约可以被利用、被破坏和被黑客攻击。与任何具有不完美智能合约的典型DeFi项目类似，NFT智能合约也可能存在导致不利结果的漏洞。
NFT（Non-Fungible Token），即非同质化代币。区别于“千篇一律”的区块链同质化代币，如BTC、ETH、EOS等，NFT属于“十人十色”，每个NFT都拥有与众不同的ID标识。因此，NFT可实现链下实体环境中诸多物品的价值对标，如不动产、艺术收藏品，同时，还能体现IP权益、游戏装备及认证信息等抽象物的价值。
鲸交所是否安全？
挺安全的，它们家是去中心化交易所，利用智能合约进行去中心化资产托管，平台无法触碰用户资产，用户对自己的资产具有完全的控制权。
而且它们联合了8家EOS超级节点对智能合约进行多重签名机制进行防护，智能合约或资产的任何变动都需经过平台、慢雾审计、EOS主网节点三方共同授权同意后才能执行，平台没有作恶的能力。即使黑客攻击、交易所的私钥被泄露，他们也无法转移用户资产。
对了，它们还发布了一个诺亚方舟计划，就是说，如果外星人攻击地球，发生极端物理性摧毁，服务器和工作人员都无法正常工作，用户也可能通过调用智能合约取回自己的资产。
所以，从安全性上来说，它们家应该是行业内最安全的了，不用担心丢币、盗币情况的发生，可以放心使用。
能说一下钱包安全审计是什么吗？这阵子都在说时代安全，他们的钱包安全审计好不好用？
近年来，数字钱包安全事件频发。
2019年11月19日，Ars Technica报道称两个加密货币钱包数据遭泄露，220万账户信息被盗。安全研究员Troy Hunt证实，被盗数据来自加密货币钱包GateHub和RuneScape机器人提供商EpicBot的账户。
这已经不是Gatehub第一次遭遇数据泄露了。据报道，去年6月，黑客入侵了大约100 个XRP Ledger钱包，导致近1000万美元的资金被盗。
2019年3月29日，Bithumb失窃事件闹得沸沸扬扬。据猜测，这次事件起因为Bithumb拥有的g4ydomrxhege帐户的私钥被黑客盗取。
随即，黑客将窃取的资金分散到各个交易所，包括火币，HitBTC，WB和EXmo。根据非官方数据和用户估计，Bithumb遭受的损失高达300万个EOS币（约1300万美元）和2000万个XRP币（约600万美元）以上。
由于数字货币的匿名性及去中心化，导致被盗资产在一定程度上难以追回。因此，钱包的安全性至关重要。
2020年8月9日，CertiK的安全工程师在DEF CON区块链安全大会上发表了演讲主题为：Exploit Insecure Crypto Wallet（加密钱包漏洞利用与分析）的主题报告，分享了对于加密钱包安全的见解。
加密钱包是一种帮助用户管理帐户和简化交易过程的应用程序。
有些区块链项目发布加密钱包应用程序来支持本链的发展——比如用于CertiK Chain的Deepwallet。
此外，还有像Shapeshift这样的公司，其构建了支持不同区块链协议的钱包。
从安全的角度来看，加密钱包最需重视的问题是防止攻击者窃取用户钱包的助记词和私钥等信息。
近一年来，CertiK技术团队对多个加密钱包进行了测试和研究，并在此分享针对基于软件不同类型的加密钱包进行安全评估的方法及流程。
加密钱包基础审计清单
要对一个应用程序进行评估，首先需要了解其工作原理→代码实现是否遵循最佳安全标准→如何对安全性不足的部分进行修正及提高。
CertiK技术团队针对加密钱包制作了一个基础审计清单，这份清单反映了所有形式的加密钱包应用（手机、web、扩展、桌面），尤其是手机和web钱包是如何生产和储存用户私钥的。
应用程序如何生成私钥？
应用程序如何以及在何处存储原始信息和私钥？
钱包连接到的是否是值得信任的区块链节点？
应用程序允许用户配置自定义区块链节点吗？如果允许，恶意区块链节点会对应用程序造成什么影响？
应用程序是否连接了中心化服务器？如果是，客户端应用会向服务器发送哪些信息？
应用程序是否要求用户设置一个安全性高的密码？
当用户试图访问敏感信息或转账时，应用程序是否要求二次验证？
应用程序是否使用了存在漏洞且可被攻击的第三方库？
有没有秘密（比如：API密钥，AWS凭证）在源代码存储库中泄漏？
有没有明显的不良代码实现（例如对密码学的错误理解）在程序源代码中出现？
应用服务器是否强制TLS连接？
手机钱包
相比于笔记本电脑，手机等移动设备更容易丢失或被盗。
在分析针对移动设备的威胁时，必须考虑攻击者可以直接访问用户设备的情况。
在评估过程中，如果攻击者获得访问用户设备的权限，或者用户设备感染恶意软件，我们需要设法识别导致账户和密码资产受损的潜在问题。
除了基础清单以外，以下是在评估手机钱包时要增加检查的审计类目：
应用程序156是否警告用户不要6991对敏感数据进行截屏3780——在显示敏感数据时，安卓应用是否会阻止用户截屏？iOS应用是否警告用户不要对敏感数据进行截屏？
应用程序是否在后台截图中泄漏敏感信息？
应用程序是否检测设备是否越狱/root？
应用程序是否锁定后台服务器的证书？
应用程序是否在程序的log中记录了敏感信息？
应用程序是否包含配置错误的deeplink和intent，它们可被利用吗?
应用程序包是否混淆代码？
应用程序是否实现了反调试功能?
应用程序是否检查应用程序重新打包?
(iOS)储存在iOS Keychain中的数据是否具有足够安全的属性？
应用程序是否受到密钥链数据持久性的影响?
当用户输入敏感信息时，应用程序是否禁用自定义键盘?
应用程序是否安全使用“webview”来加载外部网站？
Web钱包
对于一个完全去中心化的钱包来说，Web应用程序逐渐成为不太受欢迎的选择。MyCrypto不允许用户在web应用程序中使用密钥库/助记词/私钥访问钱包，MyEtherWallet也同样建议用户不要这样做。
与在其他三种平台上运行的钱包相比，以web应用程序的形式对钱包进行钓鱼攻击相对来说更容易；如果攻击者入侵了web服务器，他可以通过向web页面注入恶意的JavaScript，轻松窃取用户的钱包信息。
然而，一个安全构建并经过彻底测试的web钱包依旧是用户管理其加密资产的不二之选。
除了上面常规的基础审计类目之外，我们在评估客户端web钱包时，还列出了以下需要审计的类目列表：
应用程序存在跨站点脚本XSS漏洞吗？
应用程序存在点击劫持漏洞吗？
应用程序有没有有效的Content Security Policy？
应用程序存在开放式重定向漏洞吗？
应用程序存在HTML注入漏洞吗？
现在网页钱包使用cookie的情况很少见，但如果有的话，应检查：
Cookie属性
跨站请求伪造（CSRF）
跨域资源共享（CORS）配置错误
该应用程序是否包含除基本钱包功能之外的其他功能? 这些功能存在可被利用的漏洞吗？
OWASP Top 10中未在上文提到的漏洞。
扩展钱包
Metamask是最有名和最常用的加密钱包之一，它以浏览器扩展的形式出现。
扩展钱包在内部的工作方式与web应用程序非常相似。
不同之处在于它包含被称为content script和background script的独特组件。
网站通过content script和background script传递事件或消息来与扩展页面进行交流。
在扩展钱包评估期间，最重要的事情之一就是测试一个恶意网站是否可以在未经用户同意的情况下读取或写入属于扩展钱包的数据。
除了基础清单以外，以下是在评估扩展钱包时要增加检查的审计类目：
扩展要求了哪些权限？
扩展应用如何决定哪个网站允许与扩展钱包进行交流？
扩展钱包如何与web页面交互？
恶意网站是否可以通过扩展中的漏洞来攻击扩展本身或浏览器中其他的页面？
恶意网站是否可以在未经用户同意的情况下读取或修改属于扩展的数据？
扩展钱包存在点击劫持漏洞吗？
扩展钱包（通常是background script）在处理消息之前是否已检查消息来源？
应用程序是否实现了有效的内容安全策略?
Electron桌面钱包
在编写了web应用程序的代码之后，为什么不用这些代码来建造一个Electron中桌面应用程序呢？
在以往测试过的桌面钱包中，大约80%的桌面钱包是基于Electron框架的。在测试基于Electron的桌面应用程序时，不仅要寻找web应用程序中可能存在的漏洞，还要检查Electron配置是否安全。
CertiK曾针对Electron的桌面应用程序漏洞进行了分析，你可以点击访问此文章了解详情。
以下是基于Electron的桌面钱包受评估时要增加检查的审计类目：
应用程序使用什么版本的Electron？
应用程序是否加载远程内容？
应用程序是否禁用“nodeIntegration”和“enableRemoteModule”？
应用程序是否启用了“contextisolation”, “sandbox” and “webSecurity”选项？
应用程序是否允许用户在同一窗口中从当前钱包页面跳转到任意的外部页面？
应用程序是否实现了有效的内容安全策略？
preload script是否包含可能被滥用的代码？
应用程序是否将用户输入直接传递到危险函数中(如“openExternal”)？
应用程序会使不安全的自定义协议吗?
服务器端漏洞检查列表
在我们测试过的加密钱包应用程序中，有一半以上是没有中心化服务器的，他们直接与区块链节点相连。
CertiK技术团队认为这是减少攻击面和保护用户隐私的方法。
但是，如果应用程序希望为客户提供除了帐户管理和令牌传输之外的更多功能，那么该应用程序可能需要一个带有数据库和服务器端代码的中心化服务器。
服务器端组件要测试的项目高度依赖于应用程序特性。
根据在研究以及与客户接触中发现的服务器端漏洞，我们编写了下文的漏洞检查表。当然，它并不包含所有可能产生的服务器端漏洞。
认证和授权
KYC及其有效性
竞赛条件
云端服务器配置错误
Web服务器配置错误
不安全的直接对象引用(IDOR)
服务端请求伪造(SSRF)
不安全的文件上传
任何类型的注入(SQL，命令，template)漏洞
任意文件读/写
业务逻辑错误
速率限制
拒绝服务
信息泄漏
总结
随着技术的发展，黑客们实施的欺诈和攻击手段也越来越多样化。
CertiK安全技术团队希望通过对加密钱包安全隐患的分享让用户更清楚的认识和了解数字货币钱包的安全性问题、提高警惕。
现阶段，许多开发团队对于安全的问题重视程度远远低于对于业务的重视程度，对自身的钱包产品并未做到足够的安全防护。通过分享加密钱包的安全审计类目，CertiK期望加密钱包项目方对于产品的安全标准拥有清晰的认知，从而促进产品安全升级，共同保护用户资产的安全性。
数字货币攻击是多技术维度的综合攻击，需要考虑到在数字货币管理流通过程中所有涉及到的应用安全，包括电脑硬件、区块链软件，钱包等区块链服务软件，智能合约等。
加密钱包需要重视对于潜在攻击方式的检测和监视，避免多次受到同一方式的攻击，并且加强数字货币账户安全保护方法，使用物理加密的离线冷存储（cold storage）来保存重要数字货币。除此之外，需要聘请专业的安全团队进行网络层面的测试，并通过远程模拟攻击来寻找漏洞。