虛擬貨幣安全檢查清單：從 Phemex 安全中心 Vol. 05–08 學到的四個教訓

虛擬貨幣的安全是「鏈」，而不是單一的鎖頭

即使是受到強加密保護的虛擬貨幣帳戶，也可能因為被侵入的設備、弱密碼、過時的地址或看似合理的訊息而面臨風險。

這是 Phemex 安全中心 Vol. 05--08 的共同主題。這四個版本各自處理不同的攻擊目標領域。

• Vol. 05: 硬體錢包供應鏈的篡改
• Vol. 06: 錢包種子生成中的隨機數脆弱性
• Vol. 07: 廢棄或過時的入金地址
• Vol. 08: 不明的認證碼和釣魚誘導

這些主題背後的事件也顯示了安全建議應該是多麼實用。硬體錢包並不會因為外包裝被封印就自動安全。由弱隨機數生成的恢復短語並不安全。保存的入金地址也不一定會保持有效。即使是收件箱中的認證碼，也不一定是無害的。

適當的應對通常是簡單的。停下來，確認發件人，仔細檢查細節，如果有任何不一致，請停止該操作。

Phemex 用戶應首先從官方的 Phemex 帳戶安全指南 開始。該指南解釋了雙重身份驗證（2FA）、密碼、反釣魚碼、授權應用程序、設備管理、提款地址限制以及在發現可疑活動時的應對方法。

安全注意事項： 本文僅供教育目的。提到的外部事件是用來說明一般安全實踐，並不表示 Phemex 或 Phemex 用戶受到影響。

Vol. 05--08 的共同點

安全中心的四個版本描繪了信任可能被背叛的四個不同方面。

1. **設置之前：**你能信任物理設備及其流通路徑嗎？
2. **創建錢包時：**恢復短語是否以足夠的隨機性生成？
3. **入金之前：**地址仍然有效且網絡一致嗎？
4. **訪問帳戶時：**該代碼、重置、登錄是你自己要求的嗎？

這些都是獨立的管理項目。保護一項並不意味著其他項目也會受到保護。乾淨的硬體錢包無法修復被侵入的電子郵件帳戶。強大的密碼無法使過時的入金地址恢復有效。即使是有效的地址，也無法保護錯誤網絡上發送的資金。

因此，最有用的安全習慣是「檢查點思維」。

• 檢查設備。
• 檢查種子。
• 檢查地址。
• 檢查訊息。

Vol. 05: 封印的盒子並不是安全設備的證明

硬體錢包旨在將私鑰與普通的互聯網連接設備隔離。這一安全模型不僅依賴於安全元素和設備固件，還依賴於製造、退貨、再販售和流通的過程。

在 2026 年 10 月，一家硬體錢包製造商公佈了局部供應鏈攻擊。正品設備在開封後，內部安裝了旨在在設置過程中竊取恢復短語的隱藏組件，並通過經銷商再次流通。該公司表示，調查結果顯示，核心芯片、操作系統和伺服器沒有發現缺陷，攻擊是針對出貨後的流通渠道。請參閱製造商對硬體植入攻擊的應對聲明。

另一家硬體錢包製造商的相關報告中提到，通過相同的經銷商網絡銷售的設備存在可靠的報告。該製造商建議購買者作為預防措施，將資金轉移到新創建的錢包中，並同時明確表示在通知時沒有證據顯示客戶遭受損失。請查看硬體植入的報告。

這裡的實踐教訓並不是說硬體錢包毫無意義，而是硬體錢包的安全性包括供應鏈。

用戶應確認的事項

通過可靠的渠道購買。 使用製造商的官方商店或認證經銷商，保留收據並記錄賣方名稱。外包裝可以被開封並重新封印，因此僅依賴包裝狀態並不能進行完全的安全檢查。

驗證設置步驟。 如果是正規設備，初始化時應能生成新的恢復短語。不要接受印刷在卡片上的、顯示在網站上的或從賣方發送的恢復短語。

不要在網站上輸入恢復短語。 硬體錢包製造商、交易所、支援人員或「安全檢查者」不需要種子短語。要求這些的對象是在尋求控制錢包。

如果懷疑有植入，則視為錢包被侵入。 在等待技術解釋的同時，請不要繼續使用相同的種子。將資產轉移到使用新生成的種子創建的新錢包中，並且不要將舊種子導入替代錢包。

不要輕易拆解設備。 這可能會損壞設備，或誤解正常製造中的個體差異。如果懷疑有篡改，請保留證據，聯繫製造商的官方支援窗口，並根據情況優先保護資產。

記住的行為

硬體錢包僅在設備、設置步驟和種子均可靠的情況下才能保護恢復短語。最安全的預設行為是簡單的。

如果設備的來歷不確定，請創建新錢包並使用新種子。

Vol. 06: 隨機性是錢包安全的一部分

許多用戶往往將恢復短語視為單純的單詞排列，但在技術上，它代表了用於導出錢包密鑰的秘密熵。如果熵是可預測的，攻擊者可能在不接觸原始設備的情況下重現相同的錢包。

這就是弱種子生成極其嚴重的原因。問題不在於人們是否認為短語看起來隨機，而在於它是否是使用加密安全的隨機數源生成的。

在 2026 年 10 月，Qubic 報告稱，攻擊者從約 1,404 個錢包中竊取了約 2.94 兆 QU。根據項目方的說法，受影響的某些種子是在隨機數不足的情況下生成的，這使得攻擊者得以重現。此外，協議和共識層並未受到侵害，轉賬是正常的簽名交易。項目的事件報告中說明了受影響的錢包環境、應對時間線和恢復過程。

這對用戶來說是一個重要的區別。區塊鏈能夠正確驗證交易，即使用於簽名的秘密信息是脆弱的。正常的簽名並不證明錢包是安全創建的。

僅更新應用程序是不夠的原因

軟體更新可以修正生成新種子的代碼。然而，無法自動將可能已洩漏的舊種子恢復為安全的狀態。

如果錢包提供者確定了脆弱的生成方式，請遵循提供者的遷移步驟。一般來說，這意味著：

1. 停止使用可能受影響的錢包。
2. 從官方來源更新錢包軟體。
3. 在乾淨的環境中創建新錢包。
4. 確認新種子是由修正版生成的。
5. 將資產轉移到新錢包中。
6. 永久退役舊種子。

即使錢包中的資金沒有損失，也要避免重複使用舊短語。沒有發生明顯的盜竊並不證明種子的安全性。

仍然重要的種子短語規則

• 种子仅在可信的錢包應用程序或硬體設備內生成。
• 种子應保持離線且保密，避免截圖、雲端筆記、電子郵件和訊息應用程序。
• 不要在瀏覽器中輸入種子以進行“驗證”。
• 不論是支援人員、版主、恢復服務商或朋友，都不要分享種子。
• 創建替代錢包時，請使用乾淨的設備。
• 如果懷疑短語可能洩漏，應進行錢包轉移而非更改密碼。

記住的行為

錢包的強度依賴於其底層秘密信息的不可預測性。

如果種子生成不夠強大或不確定，軟體更新並不等於轉移。新的種子才是真正的轉移。

Vol. 07: 保存的入金地址可能已過時

虛擬貨幣地址看似會在鏈上持續顯示相同的字串多年，因此看起來是永久的。然而，這並不意味著接受平台會繼續計算發送到該地址的入金。

平台可能會因事件、錢包轉移、保管變更或運營設計的重新評估而廢止地址。一些平台可能會在一段時間內繼續從舊地址提取資金，但其他平台則可能會停止支援。因此，使用者體驗可能因資產、網絡、帳戶和平台而異。

2026年10月，行業報導指出，一家大型虛擬貨幣平台吸收了約1600萬美元的損失。原因是客戶的入金持續送達已廢止的錢包基礎設施，內部流程未能如預期移動資金。報導指出，即使平台已通知用戶停止使用，舊地址仍然顯示並能接收轉賬。請查看有關廢止地址事件的行業報告。

這裡的教訓更多地在於運營層面，而非技術層面。地址簿中保存的地址是過去的記錄，而不是當前的保證。

入金前必須進行的四項檢查

直接打開接受平台。 不要使用舊的聊天記錄、截圖、電子表格或瀏覽器歷史中複製的地址，請在官方應用或官方網站生成並顯示當前有效的入金地址。

資產要一致。 將某種資產發送到另一種資產的地址，可能會導致難以恢復或永久損失。

網絡要一致。 資產和網絡在發送方和接收方都必須一致。不要因為地址格式相似就認為網絡是兼容的。

檢查備註或標籤。 某些資產需要目的地標籤、備註或支付ID。如果在接受平台上顯示，請準確輸入。

對於大額轉賬，可以通過發送少量測試交易來降低運營風險。轉賬後保存交易哈希，並等待所需的確認數。即使在鏈上完成的交易，平台側也可能需要處理才能反映在餘額中。

如果已經轉賬到舊地址

請迅速行動並保留詳細信息。

• 保存交易哈希。
• 記錄資產、網絡、金額、時間戳和接收地址。
• 聯繫接受平台的官方支援窗口。
• 不要向承諾恢復的陌生人支付費用。
• 不要發送第二筆付款以“解除”或“驗證”第一次轉賬。

恢復的可能性取決於地址類型、網絡、平台政策以及資金是否仍可訪問。沒有人能保證從區塊鏈交易中恢復。

記住的行為

在入金前務必獲取最新地址，並檢查資產、網絡、備註和整個地址。

Vol. 08: 不明代碼是警告，而非日常提示

驗證代碼有時是正常登錄的一部分。另一方面，它也可能是攻擊者試圖訪問帳戶的最後一步。

如果您收到未請求的代碼，請不要認為只是某人錯誤輸入了電子郵件地址。應將其視為有人正在嘗試登錄、重置密碼、註冊設備或進行其他帳戶操作的跡象。

某區塊鏈數據公司最近公佈的安全事件顯示了這一點的重要性。該公司的官方更新解釋了對特定客戶信息的未經授權訪問，並警告某些密碼可能已洩漏。用戶被呼籲不要點擊消息中的密碼重置鏈接，而是直接訪問官方登錄頁面，重置重複使用的密碼，並對意外提示保持警惕。該公司的事件最新信息截至2026年11月7日。

這不是 Phemex 的安全事件。數據洩露是一個有用的例子，顯示針對性網絡釣魚的第二波可能會出現。

收到意外代碼時的應對方法

不要分享代碼。 支援人員不需要一次性驗證代碼。分享代碼可能會導致您批准攻擊者發起的操作。

不要點擊重置鏈接。 請打開官方應用或手動輸入網址。消息中偽裝緊急性的鏈接可能會引導您進入假登錄頁面。

直接檢查帳戶活動。 檢查活躍會話、授權設備、第三方應用的訪問權限、API密鑰、最近的訂單和提款設置。

保護電子郵件帳戶。 如果電子郵件洩露，即使交易帳戶本身有強大的管理，也可能會繞過帳戶安全。從可信設備更改電子郵件密碼，檢查轉發規則、過濾器和登錄中的設備。

如有任何變更，請聯繫官方支援。 使用自己打開的支援窗口，對事件後聯繫的陌生帳戶不要回覆。

Phemex 用戶可以在帳戶安全中檢查設備管理、應用授權、2FA、密碼密鑰、反釣魚代碼和提款限制。

記住的行為

如果沒有自己的請求，請不要向任何人提供代碼。打開官方應用檢查帳戶，並結束對話。

安全中心綜合檢查清單

在設置錢包、應用集成、資金入金和回應帳戶消息時，請使用此檢查清單。

硬體錢包

• 從官方或認證的銷售商處購買。
• 不要信任預先寫好的恢復短語。
• 設置時生成新的種子。
• 將可疑的實體視為已被入侵。
• 如果懷疑篡改，請將資金轉移到新的種子中。

種子短語

• 在可信且已更新的錢包中生成。
• 離線且保密保存。
• 絕對不要輸入網站或與支援共享。
• 不要重複使用可能已洩漏的種子。
• 了解僅進行軟體更新無法修復已洩漏的秘密信息。

入金地址

• 每次入金前都要獲取最新地址。
• 檢查資產和網絡。
• 根據需要添加備註、標籤和支付ID。
• 檢查地址的整體，而不僅僅是開頭和結尾的字符。
• 轉賬後保存交易哈希。

帳戶與網絡釣魚

• 不要分享密碼、API密鑰、2FA代碼和密碼授權。
• 不要追蹤不明的重置鏈接。
• 不要點擊消息中的鏈接，直接打開 Phemex。
• 檢查設備、應用、會話、訂單和提款歷史。
• 如有不明活動，請聯繫官方支援。

發生可疑事件後

1. 停止新的匯款、批准和登錄。
2. 禁用可疑的 API 金鑰，結束不明的會話。
3. 保護電子郵件帳戶。
4. 在可能的範圍內撤銷錢包的權限。
5. 保存交易哈希、消息、設備信息和時間戳。
6. 通過經過驗證的路徑聯繫官方支持。
7. 不要對要求手續費、種子短語、密碼或緊急匯款以換取恢復的人做出回應。

常見問題（FAQ）

硬體錢包總是安全的嗎？

沒有任何設備可以消除所有風險。硬體錢包的安全性取決於供應商、供應鏈、設置步驟、韌體以及用戶自己對恢復短語的處理。

軟體更新會使舊的種子變得安全嗎？

不一定。如果種子是由弱隨機數生成的，或者在設置過程中可能暴露，請使用新的種子創建新的錢包，並按照提供者的步驟轉移資產。

可以重複使用保存的入金地址嗎？

不要假設可以使用。在入金之前，請在官方接受平台上獲取最新地址，並確認資產、網絡和備註。

如果收到意外的驗證碼該怎麼辦？

不要分享或點擊消息中的鏈接。直接打開官方應用或官方網站，檢查帳戶活動，然後從可信的設備更改重複使用的密碼，必要時聯繫官方支持。

對可疑帳戶活動的最快反應是什麼？

首先停止進一步操作。禁用可疑訪問，保護電子郵件帳戶，檢查會話和權限，保存證據，然後聯繫官方支持。

安全是一種習慣，而非標題

Phemex 安全中心 Vol. 05--08 處理了四個不同的故障點，但應對模式只有一個。

• 在信任錢包之前，檢查設備。
• 在信任地址之前，檢查種子。
• 在發送資金之前，檢查地址。
• 在共享訪問之前，檢查消息。

這些教訓背後的最近事件也顯示了應避免單一思維的理由。安全元件無法驗證經銷商。已打補丁的錢包無法修復脆弱的種子。有有效的區塊鏈地址並不證明該平台仍然支持。真正的驗證碼並不能證明要求它的人是合法的。

安全是不可逆決策之前一系列小判斷的積累。停下來，檢查，保護下一步。

建議行動： 重新檢查 Phemex 帳戶安全性