数字货币能被攻破吗？做了五年安全审计我想跟你说点实话

做了五年交易所安全审计，"数字货币能被攻破吗"是我被问最多的问题。这问题容易让人迷糊——协议被攻破和钱包里的币被转走，是两件完全不同的事，多数人把它们混在一起了。

真正被攻破的数字货币能被攻破吗，几乎都不是协议本身。 是交易所API密钥泄露，是私钥存在明文文件里，是智能合约中没审清楚的代码。去年我审计一家中小交易所，热钱包与冷钱包的转账逻辑没做二次验证，攻击者拿到API就能把提币额度拉满。

比特币、以太坊这些底层协议，至今没有发生过一次真正意义上的攻破。五万多个节点同时做哈希碰撞，算力成本远超币值。从密码学角度说，协议层被攻破的概率趋近于零。你能被偷，但链没被偷。

印象最深的一次，有用户把助记词拍照存手机相册，手机被root后攻击者直接扫出那串词，七位数美金四十分钟归零。他跑来问我怎么办，我说助记词等于密码，谁看见谁就能转走，这不是bug数字货币能被攻破吗？做了五年安全审计我想跟你说点实话，是设计本身。

协议破不了，但你的钱包、你的习惯、你选的交易所，任何一环松了币就没了。你现在把私钥存在哪儿？硬件钱包里，还是某台没锁屏的电脑上？