wallet-and-security

<a href="/zh/glossary/wallet-and-security/address-poisoning/" target="_blank">地址投毒</a>（Address Poisoning）是一種詐騙手法：攻擊者發送一筆金額為零的「粉塵（dust）交易」到你的錢包，使用的是一個和你常用目標地址高度相似（只有中間幾個字元不同）的假地址——這筆假交易會被記錄進你的鏈上交易歷史。當你下次要轉帳時，若習慣從歷史記錄複製地址，就很可能複製到那個假地址，把錢誤轉給攻擊者。這個攻擊的核心，是利用人們在複製地址時只看前幾位和後幾位、忽略中間字元的習慣。

私鑰（錢包的根憑證）永遠不接觸網路的加密錢包。因為駭客無法透過網路觸及私鑰，冷錢包被認為是保管大額加密資產最安全的方式。<a href="/zh/glossary/wallet-and-security/hardware-wallet/">硬體錢包</a>（如 Ledger、Trezor）是最常見的冷錢包形式。

一個專門用來離線保存私鑰、並在裝置內部完成交易簽名的實體裝置，私鑰全程不會透過網路傳輸或暴露在連網的電腦上，是冷錢包概念最常見的具體實現形式，但裝置本身仍存在供應鏈攻擊、實驗室級硬體攻擊等特定風險，不是絕對安全的保證。

連接網路、隨時可用的加密錢包，私鑰存在連網裝置（手機、瀏覽器外掛、交易所）上。它方便快速、適合日常小額交易與互動，但因為私鑰暴露在連網環境，被駭與被盜的風險遠高於冷錢包。

多重簽名（Multi-sig，多簽）是一種需要多把私鑰共同授權才能執行交易的錢包安全機制，通常以「M-of-N」形式表示：N 把私鑰中，至少有 M 把同時簽署，交易才能成立。例如 3-of-5 代表共有 5 把鑰匙，需要任意 3 把的簽名才能動支資金。它讓單一私鑰的遺失或被盜不再是災難性的，也讓多人管理共同資金時有了明確的分權制衡機制。DeFi 協議、DAO 國庫、機構加密資產管理，都廣泛使用多簽。

一串隨機生成的祕密數字，是你對某個區塊鏈地址資產的唯一控制權證明。誰掌握私鑰，誰就能動用裡面的資產——它不像銀行密碼可以重設，遺失或外洩等於資產永久喪失或被盜。

<a href="/zh/glossary/wallet-and-security/reentrancy-attack/" target="_blank">重入攻擊</a>（Reentrancy Attack）是一種針對<a href="/zh/glossary/blockchain-fundamentals/smart-contract/">智能合約</a>的漏洞攻擊手法：攻擊者利用合約在「送出資金」之後、「更新內部狀態（帳戶餘額）」之前這個時間窗口，在收到資金的那一刻立刻重新呼叫原本的提款函數，讓合約在狀態更新前再次通過餘額檢查，進而反覆提取資金直到合約被清空。2016 年的 The DAO 攻擊（損失約 6,000 萬美元）就是利用了這個漏洞，並直接導致以太坊硬分叉（ETH/ETC 的分裂）。這個漏洞至今仍是<a href="/zh/glossary/tokenization/smart-contract/" target="_blank">智能合約</a>安全審計最重要的檢查項目之一。

通常是 12 或 24 個英文單字，是你整個加密錢包的「人類看得懂的總備份」。誰拿到這串字，誰就能完整控制這個錢包裡的所有資產，沒有客服能幫你救回。

把一組<a href="/zh/glossary/wallet-and-security/seed-phrase/">助記詞</a>拆成多份「分片」的備份方法，只要湊齊事先設定的門檻數量（例如十份裡的任意七份）就能還原完整助記詞，門檻以下的任何分片組合都無法透露原始助記詞的任何資訊，比單純把助記詞複製成多份紙本、分開存放，多了一層數學上可證明的安全性。

攻擊者透過社交工程手法（例如假冒受害者身分聯繫電信商）或收買電信商內部人員，把受害者的手機門號轉移到攻擊者控制的 SIM 卡上，一旦門號到手，就能接收受害者原本會收到的簡訊驗證碼與帳號救援訊息，繞過依賴簡訊的雙重驗證機制。

<a href="/zh/glossary/wallet-and-security/token-approval/" target="_blank">代幣授權</a>（Token Approval）是指你授權某個<a href="/zh/glossary/blockchain-fundamentals/smart-contract/">智能合約</a>「可以動用你錢包裡某種代幣」的權限。在 DeFi 裡，當你要用某協議交易、提供流動性或質押某個代幣時，必須先簽一筆 approve 交易，給那個合約動用該代幣的額度。問題在於：很多介面預設請求「無限額度」授權，等於讓那個合約日後可以隨時動用你錢包裡這種代幣的全部——萬一合約有漏洞或本身是惡意的，你的資產就有被搬空的風險。

雙因素驗證（2FA，Two-Factor Authentication）是一種需要兩種不同驗證方式才能登入帳號的安全機制。第一個因素通常是你「知道的東西」——密碼；第二個因素是你「擁有的東西」——例如你手機上的一次性驗證碼（OTP）、或是實體安全金鑰。就算駭客取得了你的密碼，沒有第二個因素他仍然進不來。在加密世界，開啟 2FA 是保護交易所帳號、電子信箱和任何持有資產的帳戶最基礎、成本最低的安全措施之一。