4月14日， 巴比特在廈門舉辦了第七期【Chainge】技術沙龍， 邀請到了火幣CTO程顯峰、比特派合夥人王超、慢霧安全團隊海賊王、Keywolf、 imToken首席安全官Blue、幣派CEO胡園泉， 以“區塊鏈技術的安全隱患”為話題， 對區塊鏈技術中存在的風險和安全隱患進行了深入討論。
來自比特派的合夥人王超在演講中分享了比特派對於安全和開放的思考。 王超列舉了比特幣歷史上的知名丟幣事件以及背後原因， 並給出了應對措施：私密金鑰得足夠隨機、私密金鑰得冷、私密金鑰不能丟。 另外， 隨著區塊鏈的熱潮到來， 生態發生了變化。 錢包開始從低頻變得高頻，
以下為嘉賓演講內容， 巴比特做了不改變原意的整理：
我叫王超， 來自比特派團隊， 非常感謝巴比特的組織和邀請，
比特派始於2014年， 在過去的五年間， 我們的錢包幫助數十萬用戶管理了接近100萬的比特幣資產， 沒有出過一起安全事故。 同時我們的比太錢包是華人世界唯一被 Bitcoin.org 推薦的錢包。 Bitcoin.org最早由中本聰註冊， 之後交給社區管理， 雖然比特幣是一個去中心化的網路， 但這個網站具備准官方性質。 能夠被推薦實際上是非常難的， 代碼要經過特別嚴格的協力廠商審核。
比特派是我們團隊研發的產品， 經常有客戶會問， 比特派和比太有什麼區別？其實區別還是挺大的。 比太錢包是比特幣單幣種錢包。 而比特派是一個多用戶資產管理平臺，
區塊鏈世界關於安全有說不完的話題。 縱觀整個區塊鏈行業的發展史， 基本上是一部“丟幣史”。 下面列舉了一些比較著名的機構丟幣事件， 按現在的價格計算， 基本上是幾十億甚至是上百億的資產。 一旦這樣的事情發生， 不要說一些區塊鏈的機構， 就是金融機構都未必能承受這樣的損失。
如果我們不保存在機構， 自己保管比特幣， 是不是會安全？實際上也是未必的。
歷史上曾經發生過多次因為亂數問題造成丟幣。 比如去年的乙太坊Parity錢包， 也出現過兩次多重簽名漏洞， 大量的用戶資產丟失。 以及慢霧科技不久前披露的非常經典的乙太坊帳戶漏洞問題， 大家會發現原來這個世界裡面駭客攻擊手段是難以想像的。
丟幣最多的都是因為個人原因， 比如：
電腦/手機 丟失、損壞導致的丟幣（無備份）；
釣魚郵件、木馬病毒導致的被盜；
私密金鑰/密語 存儲在郵箱、雲盤等網路空間所導致的丟幣;
使用偽造的錢包app丟幣（AppStore、QQ群、二手硬體錢包等）;
騙子索取私密金鑰/密語導致的丟幣;
用不安全的方法領分叉幣， 結果把比特幣給弄丟了。
甚至還有騙子冒充這錢包、交易所的客服去要使用者的密碼， 造成丟幣， 我們見到很多這樣用戶， 不一一列舉了。
總結起來， 在區塊鏈的世界裡面， 滿地都是坑， 每一個坑都有可能會埋了大量的資產。 怎麼去避免踩坑呢？
這裡邊給出一些建議， 第一， 私密金鑰得足夠隨機。 我們知道私密金鑰決定了區塊鏈資產的所有權， 丟了私密金鑰也就相當於丟了一切。 私密金鑰實際上是一個亂數， 但是這個亂數的概念空間比較大， 是2的256次方。私密金鑰一般是由錢包隨機生成的。我們首先要強調錢包的這個亂數的生成過程一定要真隨機，這個非常重要。
電腦生成的亂數一般稱為偽隨機，因為它是有一個確定的演算法，配合一個種子（比如時間），來生成一些看起來隨機的結果，但實際上任何人只要掌握演算法，掌握這個種子，就有可能得到同樣的結果，也就是說它是可預測的。
比如說比特幣，宇宙裡面有2的256次方個小抽屜，生成一把比特幣私密金鑰，就是隨機選一個抽屜往裡放錢。 因為這個數足夠的大，地球上所有的人每隔一秒生成一個私密金鑰也不會重複，所以這個機制其實是安全的。2014年底，比特幣錢包blockchain.info在一次版本升級中出現了一個嚴重的亂數問題，就是因為R值重複導致了丟幣。當時是被一個白帽駭客很快就發現，兩個半小時之後問題被修復。但是就在這2.5小時期間就有一千多個位址的200多枚比特幣丟失，所以亂數在區塊鏈裡面是一個“命根子”。
第二，私密金鑰得冷。冷，實際上就是不聯網。因為現在駭客無孔不入，不要說我們一些民用的系統和建設，就像美國軍方安全防護非常嚴的系統，甚至也是說進就能進的。所以要想真正做到完全的安全，一定是冷的，並且是從始至終的冷。
第三，私密金鑰不能丟。私密金鑰丟失是導致資產損失最多的原因。私密金鑰要抄在紙上，要抄對，然後放在一個絕對不會忘的地方。而且私密金鑰和錢包不要放在一塊。
剛才講了這麼多，實際上只是整個安全領域非常小的部分，總結起來就是，錢包是一個易做難精的東西。易做是因為這個東西有很多開原始程式碼可以去參考，包括我們的比太錢包和比特護盾也都是開源的，實際上參考別人的代碼稍微改動，想做錢包很簡單。但是真要想把裡面的這些門道摸清楚，保證用戶安全，實際上非常難。我們認為只是把自己的事做好還不夠，當用戶把他要做事情做好，樹立安全意識，其實更重要。
最後講安全和生態方面的一些東西，“開放”。之前錢包是一個低頻的場景，基本上大家的注意力在交易上。但是從去年的下半年開始，整個生態逐漸變化，很多落地東西開始出現增多，場景也將越來越多，大家用錢包的頻率比以前有了爆炸性的增長，錢包變成一個高頻場景，並且錢包裡面的東西也越來越多，不只是一個收發幣那麼簡單。
這個變化對錢包團隊其實提出了一個特別大的挑戰，就是你又想安全又想開放，這兩個東西其實是矛盾的。如何能在保證安全的前提下盡可能開放，是一個非常難的事情。
在我們看來，開放實際上包含3個層面。
第一個層面，應用類的開放。比如大家在錢包裡面可以直接玩乙太貓了，可以去預測市場，變成一個生態入口。
第二個層面，技術的開放。我們做錢包這麼多年，我們的技術的積累，對行業的理解，包括我們有些研發出的東西，都可以開放給大家。
第三個層面，生態的開放。對於優秀的合作夥伴，是不是能夠分享自己的資源，大家一塊把事情做大。
基於這樣的思考，我們提出合作夥伴計畫，提供包括技術諮詢、區塊鏈技術支援、開放平臺、入口支持、生態支持、海外市場合作。幫助合夥夥伴實現區塊鏈轉型或區塊鏈項目孵化，安全、便捷的實現真正落地的區塊鏈應用場景。
最後，我想以投資人張泉靈老師的一句話，作為結束。“歷史的車輪滾滾而來，越轉越快，快到你要不然就躲在一個沒有輪子的世界裡面，要不然擋著他的路了，你得斷臂求生，再不然就跳上去，看看它滾向何方。”
謝謝大家。
是2的256次方。私密金鑰一般是由錢包隨機生成的。我們首先要強調錢包的這個亂數的生成過程一定要真隨機，這個非常重要。電腦生成的亂數一般稱為偽隨機，因為它是有一個確定的演算法，配合一個種子（比如時間），來生成一些看起來隨機的結果，但實際上任何人只要掌握演算法，掌握這個種子，就有可能得到同樣的結果，也就是說它是可預測的。
比如說比特幣，宇宙裡面有2的256次方個小抽屜，生成一把比特幣私密金鑰，就是隨機選一個抽屜往裡放錢。 因為這個數足夠的大，地球上所有的人每隔一秒生成一個私密金鑰也不會重複，所以這個機制其實是安全的。2014年底，比特幣錢包blockchain.info在一次版本升級中出現了一個嚴重的亂數問題，就是因為R值重複導致了丟幣。當時是被一個白帽駭客很快就發現，兩個半小時之後問題被修復。但是就在這2.5小時期間就有一千多個位址的200多枚比特幣丟失，所以亂數在區塊鏈裡面是一個“命根子”。
第二，私密金鑰得冷。冷，實際上就是不聯網。因為現在駭客無孔不入，不要說我們一些民用的系統和建設，就像美國軍方安全防護非常嚴的系統，甚至也是說進就能進的。所以要想真正做到完全的安全，一定是冷的，並且是從始至終的冷。
第三，私密金鑰不能丟。私密金鑰丟失是導致資產損失最多的原因。私密金鑰要抄在紙上，要抄對，然後放在一個絕對不會忘的地方。而且私密金鑰和錢包不要放在一塊。
剛才講了這麼多，實際上只是整個安全領域非常小的部分，總結起來就是，錢包是一個易做難精的東西。易做是因為這個東西有很多開原始程式碼可以去參考，包括我們的比太錢包和比特護盾也都是開源的，實際上參考別人的代碼稍微改動，想做錢包很簡單。但是真要想把裡面的這些門道摸清楚，保證用戶安全，實際上非常難。我們認為只是把自己的事做好還不夠，當用戶把他要做事情做好，樹立安全意識，其實更重要。
最後講安全和生態方面的一些東西，“開放”。之前錢包是一個低頻的場景，基本上大家的注意力在交易上。但是從去年的下半年開始，整個生態逐漸變化，很多落地東西開始出現增多，場景也將越來越多，大家用錢包的頻率比以前有了爆炸性的增長，錢包變成一個高頻場景，並且錢包裡面的東西也越來越多，不只是一個收發幣那麼簡單。
這個變化對錢包團隊其實提出了一個特別大的挑戰，就是你又想安全又想開放，這兩個東西其實是矛盾的。如何能在保證安全的前提下盡可能開放，是一個非常難的事情。
在我們看來，開放實際上包含3個層面。
第一個層面，應用類的開放。比如大家在錢包裡面可以直接玩乙太貓了，可以去預測市場，變成一個生態入口。
第二個層面，技術的開放。我們做錢包這麼多年，我們的技術的積累，對行業的理解，包括我們有些研發出的東西，都可以開放給大家。
第三個層面，生態的開放。對於優秀的合作夥伴，是不是能夠分享自己的資源，大家一塊把事情做大。
基於這樣的思考，我們提出合作夥伴計畫，提供包括技術諮詢、區塊鏈技術支援、開放平臺、入口支持、生態支持、海外市場合作。幫助合夥夥伴實現區塊鏈轉型或區塊鏈項目孵化，安全、便捷的實現真正落地的區塊鏈應用場景。
最後，我想以投資人張泉靈老師的一句話，作為結束。“歷史的車輪滾滾而來，越轉越快，快到你要不然就躲在一個沒有輪子的世界裡面，要不然擋著他的路了，你得斷臂求生，再不然就跳上去，看看它滾向何方。”
謝謝大家。