文章来源：SophonLabs
原文标题：《加密投资者必备Opsec指南》
在这篇文章中，我们将讨论如何修改日常在线的操作细节以提高opsec。在深入研究之前，请考虑一开始可能会让人不知所措。您不必立即采用最佳网络安全实践。这个想法是列出不同的选项，并鼓励您采取一些小步骤，这将有助于逐步改进您通常的在线和链上活动。
如果加密资产被黑客入侵过，那么你很可能以前从未费心考虑过opsec。大家可能认为自己是完全安全的，因为您按照大多数人的建议使用硬件钱包。但是你有没有仔细检查过你的在线例行程序？你有没有发现过当前系统中的缺陷？
因为这些问题的答案很可能是「否」，所以我想展示如何安全地处理每个加密投资者必须定期处理的3个不同领域：钱包、密码和电子邮件。
钱包
由于钱包持有访问用户资金的密钥，因此它是应该保护的第一个区域。最终，任何最终导致被盗资金的黑客攻击都设法通过访问用户的私钥来实现。
如果您正在阅读本文，您可能已经听到了「不是您的钥匙，不是您的硬币」这句名言的次数，次数数不清。因此，我将假设您可以控制您的私钥，在本文中，我不会考虑由第三方保护的钱包。
那么，用户在以自我托管的方式保护他们的资金时有哪些选择？
软件钱包
第一级安全在于所谓的「热钱包」。软件钱包始终连接到互联网，因此是最方便和易于管理的。这种类型的钱包允许用户持有他们的私钥，释放抗审查资产的全部潜力。然而，这些类型的钱包具有如此便利性的缺点是以牺牲安全性为代价的，因为如果持有钱包的设备被黑客入侵，攻击者可以轻松访问其私钥并窃取钱包的资金。
调查：接近三分之一的对冲基金计划进行加密投资:金色财经报道，根据普华永道《2022 年全球加密对冲基金报告》中发布的调查结果，希望在加密市场进行未来投资的对冲基金份额从去年的 26% 上升到今年的 29%。调查发现，大多数着眼于加密市场的基金表示，他们现在正处于投资的“后期规划”阶段。同时，调查还发现，41%未投资的对冲基金在未来三年内不太可能投资，而31%表示对数字资产“好奇”，但更愿意等待市场更加成熟。
普华永道的报告称，在未投资的基金中，远离加密货币的首要原因是“监管和税收的不确定性”。紧随其后的是“客户反应”或“声誉风险”，这是对加密货币持怀疑态度的基金的第二大担忧。（cryptonews）[2022/6/10 4:15:03]
如果您想坚持使用此选项，您应该将资金分散在不同的钱包之间，以最大程度地减少潜在漏洞的影响。
记住：你不想把所有的鸡蛋放在一个篮子里。
硬件钱包
第二级安全属于冷钱包。这些类型的钱包允许用户将私钥存储在离线设备中。使用这些设备可确保除非攻击者设法物理获取设备或恢复阶段，否则他们将无法获取私钥。
尽管冷钱包更安全，因为它们还迫使用户在签署交易时拥有硬件设备，但与热钱包相比，它们不太方便。
最常见的硬件钱包是由Ledger，Trezor和Grid+制造的钱包。尽管冷钱包已经具有更高的安全性，但通过将资金分散在不同品牌的钱包之间来最小化风险并不是一个坏主意。通过这样做，您将在这些公司之一受到损害的不太可能的情况下受到保护。
注意：您还应该考虑到为潜在的钱包恢复过程做好准备很重要。如果您最终无法访问持有私钥的设备，您需要确保拥有私钥的备份并知道如何恢复钱包。Grid+的一个很酷的功能是能够使用SafeCards，这是受密码保护的私钥备份。
CoinShares：上周欧洲加密投资产品流出5900万美元:3月2日消息，根据机构加密基金公司 CoinShares 最新报告显示，上周欧洲市场的加密投资资产流出 5900 万美元，而美洲（主要是加拿大和巴西）市场流入资金规模达到 9500 万美元，因此总体而言上周加密投资产品整体呈现出资金流入状态。
值得一提的是，上周有 1700 万美元资金流入比特币投资产品，这也是比特币投资产品连续第 5 周呈现资金流入状态，目前比特币投资产品的总资金流入量已经达到 2.39 亿美元。此外，上周区块链股票基金流入总计 800 万美元资金，多资产投资产品资金流入量为 1400 万美元。
在非主流数字货币方面，Solana 投资产品资金流出量为 260 万美元，莱特币投资产品资金流出量为 50 万美元，Cardano、Ripple、Polkadot 和 Binance 投资产品均出现小幅流出——分别为 30 万美元、20 万美元、10 万美元和 10 万美元。[2022/3/3 13:33:27]
智能合约钱包
顾名思义，智能合约钱包是一种由智能合约而不是私钥管理的钱包。此功能由于其灵活性，使这些类型的钱包最安全。使用自定义逻辑的能力增加了额外的验证层，甚至可以添加每日传输限制等约束。最重要的是，他们还有帐户恢复机制。
在所有提到的功能中，最有趣的是多重签名交易。这些属性需要多个钱包的签名才能确认任何交易。如果您决定使用智能合约钱包，您应该设置一个NofM多重签名，其中包含N>1。这些配置将确保始终需要至少2个签名来签署交易，从而最大限度地降低利用风险并确保不会因单点故障而成功攻击。
尽管智能合约钱包在签署交易时需要付出更多的努力，但它们在帐户恢复方面也非常方便。具有N<M的NofM多重签名设置允许仍然可以访问钱包资金，即使无法访问其中一个私钥。
DTC Capital加密投资负责人：从链上和基本面来看 以太坊比以往任何时候都更强大:DTC Capital加密投资负责人Spencer Noon表示，机构对DeFi的兴趣主要体现在ETH的投资上，而不是实际的“收益耕作（yield farming）”业务或DeFi代币本身：“在过去几周与机构投资者、基金经理、场外交易柜台和家族理财办公室交谈后，我对DeFi的解读是：羊群来了。他们对DeFi感到兴奋，但对它还不熟悉，所以他们先购买ETH。”不过，Noon确实认为，持有以太坊风险敞口但对DeFi感兴趣的投资者，一旦对行业概念和协议更加熟悉，他们最终将“提高风险范围”至DeFi代币领域。
Spencer Noon分享了三个关键因素，表明以太坊从链上和基本面来看比以往任何时候都更强大。他特别指出了矿工收取的费用、以太坊合约请求数量以及每日活跃地址数量：“L1非常健康——长期基本面指标显示以太坊从未如此健康。1、ETH网络的日交易费用已超过BTC；2、9月份的合约请求数量为1.15亿，高于6月3日的5700万；3、每日活跃地址持续超过40万。”（CryptoSlate）[2020/10/16]
EOA和智能合约钱包之间的比较。
例如，一个强大的设置是使用GnosisSafe，它需要来自以下2种钱包的4个签名：
个人1：计算机中的软件钱包，仅用于与加密相关的东西。
个人2：存放在家中的硬件钱包，因此易于访问。
无力支付10万美元加密投资贷款的前阿联酋空乘人员获得部分捐款:据此前报道，一阿联酋空乘人员恐因无法支付用于加密投资的10万美元贷款而面临3年监禁。Reddit用户Crypthomie并非阿联酋公民，他在6月9日公布自己在Emirates Islamic Bank的还款计划，金额为33.8万迪拉姆（约合109000美元）。他已经因疫情而失去了在阿提哈德航空公司的工作，也无法支付每月约2230美元的分期付款。然而，他必须在2021年底之前偿还银行393296.80迪拉姆（约合12.7万美元）。
6月19日，Crypthomie表示，他收到前同事捐款27400美元。这些捐款可以帮助其消除入狱的直接威胁，但Crypthomie仍在筹款，其贷款将在2021年底前支付。尽管其前同事的捐款占总债务的25.6%，但银行要求每月分期付款约2230美元，这意味着如果利率或多或少保持不变，该Reddit用户需要支付超过12个月的款项。然而，Crypthomie表示这已经足够了。“他们的慷慨帮助我和妻子节省了几个月的时间，我们将能有时间找新工作，但现在不必再担心坐牢了。”他还开玩笑说，迫不及待地想获得新贷款并购买比特币。（Cointelegraph）[2020/6/19]
备份1：由受信任的人保护的第二个硬件钱包。
备份2：由另一个信任的人保护的纸质助记词。
尽管可以使用如上所述的非常强大的钱包配置，但是最终仍然可以采取一些措施进一步提高其安全性。例如还可以用不易损坏的东西代替纸钱包，例如CryptoSteel钱包。还可以设置地址白名单，每日交易限额，甚至转移资金时的冻结时间。
关于钱包的最终想法
上述的每种钱包类型都提供不同级别的安全性，但重要的是要了解它们也具有不同级别的便利性和易用性。正因为如此，即使您在安全阶梯上向上移动，组合不同的选项也是有意义的。
英国央行行长：加密投资者需要一定的保护:6月1日，据彭博消息，英国央行行长卡尼称：加密投资者需要一定的保护。[2018/6/1]
密码
大多数加密投资者将他们的安全措施限制在钱包中，但忘记了黑客可以通过访问他们的帐户窃取财产。所以也应该防止帐户被黑客入侵？
密码安全
密码「熵」或随机性是衡量密码不可预测程度的指标。此度量基于使用的字符以及长度。密码熵预测通过猜测、暴力破解或其他常见方法破解给定密码的难度。
由于缺乏随机性，弱密码存在缺陷。例如，您是否曾经在密码中使用过亲戚或宠物的名字？也许是一个特殊的日子？不是很随机，是吗？请记住，如果黑客可以访问个人的私人信息，那么就可以轻松破解非随机生成的密码。
尽管字符的类型增加了密码的熵，但影响最大的变量是长度。因此，您应该摆脱旧的密码标准，并开始优先考虑长度而不是特殊字符。总之，您应该摆脱人类难以记住但易于破解的密码，并开始采用难以破解的易于记忆的密码。
如果你想像图片中的那个人一样，我建议使用diceware来创建强大的随机密码。通过这样做，您只需要记住几个单词，这些单词将产生高熵和安全密码。最重要的是，您可以定期添加额外的单词，因为您确定您已经内化了当前的单词。
系统稳健性
系统的整体安全性由其最薄弱的组件决定。因此，在构建安全系统时应考虑一个关键原则：分区化。
如果一个系统是用彼此隔离的组件构建的，那么该系统将更能抵抗外部攻击。即使某个组件遭到入侵，攻击者也无法访问其他组件。
因此，重要的是要关注所有帐户的安全性，并为每个帐户设置不同的密码。请注密码派生不算作独立密码。
如何处理每个帐户的完全随机凭据？?通过使用密码管理器。
密码管理器生成随机、强且唯一的密码，这些密码存储在保管库中，并使用一个主密码进行加密。它们确保高安全性，用户只需记住一个强密码即可访问其所有凭据。
第三方密码管理器
第三方密码管理器是用户友好的，并提供多设备同步等功能和具有密码自动填充等功能的漂亮用户界面。它们中的大多数是免费增值，付费可以获得更高级的功能。
值得一提的一个关键区别是，虽然LastPass和1Password是闭源的，但Bitwarden是开源的。正因为如此，信任任何人都可以审核其代码的公开可用软件总是更容易。
请注意，Bitwarden可以自托管在您自己的服务器上，让您完全控制数据及其存储位置。但是自托管需要技术专业知识和服务器资源，并且可能并不适合所有人。
本地密码管理器
KeePass，KeePassXC和其他KeePass分支是免费的开源软件，自2000年代初以来一直存在活跃的开发社区。
第三方密码管理器和本地密码管理器之间的主要区别在于数据的存储位置。第三方软件将数据存储在云服务器上，而KeePass等本地密码管理器则在本地进行。
尽管第三方管理器确保数据在云中同步之前已完全加密，但此方法不如在本地严格存储信息安全。最重要的是，有些人可能会争辩说，尽管拥有安全专家团队，但这些公司是黑客的蜜罐，更有可能受到攻击。
另一个重要的区别是，本地密码管理器比第三方密码管理器更简单，用户体验更差。要添加额外功能并改进用户体验，必须安装第三方插件。尽管此功能使其高度可定制，但它也需要更高的技术知识。
额外提示：如果可能，应该始终在所有帐户中启用2FA。处理2FA时，切勿使用SMS，因为攻击者可能会获得SIM卡的副本或者通过伪基站拦截到短信验证码。最好使用Authy等应用程序或YubiKey等硬件设备。
电子邮件
密码是解锁帐户的密钥，但电子邮件最终将您的真实身份与您的在线活动联系起来。可以将电子邮件视为第二个密码。如果攻击者无法找出您的电子邮件，他们就无法访问您。
电子邮件提供商
处理电子邮件时，应该担心的第一件事是决定使用哪个电子邮件提供商。电子邮件提供商实现电子邮件服务器以代表其用户发送、接收、接受和存储电子邮件。
我建议使用Protonmail，一个专注于隐私的开源电子邮件服务提供商。由于该公司总部位于瑞士，因此他们不必遵守欧盟/美国法律，并且可以实施端到端加密。E2EE是一种通信系统，可防止第三方访问传输的数据。它能够通过使用接收方的公钥加密消息来做到这一点。此机制可确保只有接收方才能读取消息的内容。
Protonmail的E2EE如何工作的图表。
最重要的是，Protonmail是开源的邮件服务。拥有整洁的UI界面并且提供慷慨的免费套餐服务。
如前所述，区隔化在系统的稳健性中起着关键作用。正因为如此，前面描述的相同原则也适用于这里。为了最大程度地减少漏洞利用的影响，理想情况下，您应该为每个帐户提供单独的电子邮件。
由于为每个帐户创建全新的电子邮件可能既耗时又难以处理，因此您应该考虑以下几种选择：
聚合
帐户集群聚合旨在帮助在为每种目的创建新帐户的负担与对所有用途重复使用同一帐户的负担之间找到最佳平衡点。它的主要原则包括将在线生活中的不同活动彼此隔离开来。如果您的某个帐户被泄露或泄露，我不会影响在线生活的其他领域。
别名混淆
电子邮件别名是一种特殊类型的地址，可将发送给他们的所有电子邮件转发给您的主帐户。
尽管电子邮件别名无法完全阻止网络钓鱼攻击，但它们充当代理，因此增加了额外的安全层。使用电子邮件别名可以让您对泄露的信息产生代理权，并保护您的主电子邮件地址免受第三方侵害。这对于防止数据泄露以及收集和/或出售您的数据的公司特别方便。
SimpleLogin或AnonAddy等服务是出色的开源别名工具，可轻松帮助您停用受损或丢失的别名。它们还提供子域等附加功能，甚至允许多个主电子邮件。最重要的是，SimpleLogon最近被注重隐私的Swish公司Proton收购，这成为了他们是伟大产品的保证。
尽管强密码可以保护您免受暴力破解攻击，但它们不会保护您免受钓鱼。别名提供的一个被低估的功能是，它们不仅可以减少垃圾邮件，还可以帮助您识别不应在给定帐户中接收的可疑电子邮件。
假设您收到一封电子邮件，希望您单击链接以重新安排无法在您的位置交付的订单，但目标地址是您的新闻通讯别名帐户。如果这种情况即将发生，您可以确定该链接是恶意的。
提示：广告拦截器也是防止浏览时恶意攻击的好工具。uBlockOrigin和AdBlockPlus是免费的，强大的开源项目。
最后
安全性和便利性之间通常存在负相关关系。最终，只有您始终坚持最佳实践，系统才会安全，因此最好慢慢爬上安全阶梯并慢慢养成新习惯。这篇文章的目的是解释不同的选择，并鼓励你找到你的个人甜蜜点。
我只是想让你考虑到，随着你的投资组合的增长，更多的资金面临风险，你应该确保更强大的opsec。如果您以前从未采取过任何措施，那么突然实施重大更改可能会非常具有挑战性，因此最好从一开始就考虑所讨论的原则。
在生活中，有些教训值得从别人的经历中学习。在我个人看来，因为你有糟糕的opsec实践而遭受漏洞利用并不是你想直接学习的教训。正因为如此，每个加密投资者，以及任何关心隐私的人，都应该能够通过使用他们的密码管理器来控制他们的数字痕迹。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。