安全与自托管

保护你的加密资产：助记词、钓鱼攻击、硬件钱包与威胁模型。

自托管之所以困难，是因为攻击手段层出不穷。本合集梳理了真正会影响用户的威胁：钓鱼页面、伪造的客服私信、恶意 dApp、丢失的助记词，以及 SSP 的 2/2 模型如何化解其中大多数风险。

SSP 学院方形封面：假冒加密钱包应用

假冒钱包应用：如何确认你安装的是正版

假冒的钱包应用和扩展会窃取助记词或操控你看到的内容。本文介绍它们如何通过广告、应用商店和相似域名找上门，五个能阻止它们的习惯，以及双设备设置能防住什么、防不住什么。

5 min
SSP Academy 方形封面：剪贴板劫持恶意软件

剪贴板劫持程序：偷换你所粘贴地址的恶意软件

剪贴板劫持恶意软件会监视你复制的内容，并在你粘贴的那一刻把加密货币地址换成攻击者的地址。本文介绍它的工作原理、感染途径、如何正确核对地址，以及为什么在第二台设备上确认至关重要。

5 min
SSP Academy 方形封面：签名消息与用钱包登录

签名消息：“用钱包登录”究竟证明了什么

签名消息不花 Gas，也不在链上留下痕迹，却会把你的私钥与一段数据绑定。登录签名证明了什么，哪些链下签名能转走你的资金，以及在批准前如何阅读签名请求。

5 min
SSP Academy 方形封面：针对加密持有者的人身威胁与扳手攻击

人身威胁：当攻击不再是数字化的

能当面威胁你的人，用不着攻破密码学。为什么「扳手攻击」越来越多，为什么隐私是最好的防线，二取二多重签名面对胁迫能做什么、做不到什么，以及如何安排持仓以降低暴露。

5 min
SSP Academy 方形封面：加密货币假客服与追回资金骗局

假客服与「追回资金」骗局：第二次被盗

出了问题、你开口求助时，最先回应的是骗子。假客服和假追回机构会向你要什么，为什么正规客服从不主动私信你，以及 SSP 客服能做什么、又在结构上做不到什么。

5 min
SSP Academy 方形封面：虚假空投与签名盗取

空投：领取本身就是攻击

一枚不请自来的代币拿不走你任何东西——签下领取才会。领取页面实际要你签的三类东西、为什么链下 permit 是危险的现代变体，以及 SSP 在类型化数据签名时会给你看什么。

6 min
SSP Academy 方形封面：自己运行区块链节点

自己跑一个节点，以及为什么多数人并不需要

节点替你判定什么是真的，而不是复述某台服务器说过的话。它究竟带来什么——验证、隐私、无法被阻止的广播——真实代价是多少，以及「SSP 允许你指向自己的节点」与「这件事很容易」之间那道诚实的落差。

6 min
SSP Academy 方形封面：SSP 中继服务器能看到什么

SSP 中继能看到什么，又看不到什么

中继从不持有密钥，也无法签名——但每次十五分钟内，它经手你的 xpub 和未签名交易。TTL 索引究竟强制了什么，以及为什么钱包被设计成不信任我们自己的服务器。

6 min
SSP Academy 方形封面：已验证智能合约、代理与升级钥匙

已验证合约、代理，以及没人提的那把升级钥匙

验证勾号只能证明源码与字节码相符，仅此而已。你打交道的多数合约都是代理，其逻辑可以在你授权之后被替换，所以真正的问题是谁握着升级钥匙、以及有没有延时。

7 min
SSP Academy 方形封面：量子计算与加密货币安全

量子计算与你的币：真正面临风险的是什么

哈希没问题，签名有问题。你的哪些币今天已经暴露，为什么地址不是公钥，为什么 2-of-2 多重签名在这里几乎帮不上忙，以及你能做的唯一一件免费的事。

7 min
SSP Academy 方形封面：链上隐私与一个加密地址所泄露的东西

你的地址泄露了什么：在一本永久公开的账本上谈隐私

一个地址只需要被和你关联上一次，此后它的全部历史——过去的和将来的——就都被一并关联了。聚类启发式如何在不需要你配合的情况下运作、什么才真正有用，以及 SSP 今天所能做到的诚实边界。

6 min
SSP Academy 方形封面：盲签与无法阅读的交易批准

盲签：当屏幕什么有用的都没说，你究竟在批准什么

偷走你钱的那笔交易，往往并不是你签下的那一笔——你签下的是一份授权。哪些选择器要紧、为什么「无限」是那个值得盯住的词，以及为什么一个会瞎猜的解码器比没有解码器更糟。

6 min
SSP Academy 方形封面：地址投毒与相似的加密地址

地址投毒：只需要你复制错东西的攻击

没有恶意软件，没有钓鱼网站，也没有偷走任何签名。攻击者只是把一个看起来很像的地址放进你的交易记录，然后等你去复制它。为什么「务必核对地址」这条建议会失效，以及真正管用的防御是什么。

7 min
SSP Academy 方形封面：Coldcard 的熵缺陷与双设备架构

当随机性失灵：Coldcard 的熵缺陷，以及两台设备改变了什么

2021 年的一次提交让数千个助记词变得可被猜出，1.16 亿美元离开了那些什么都没做错的钱包。为什么弱熵是一种无声的彻底损失——以及 2-of-2 究竟能保护什么的诚实边界。

6 min
SSP Academy 方形封面：MPC 钱包与多签的对比

MPC 钱包与多签的对比

门限签名把一把密钥拆开，多签则要求多把密钥。链上强制的是什么、各自的代价，以及每种模型真正能挺过哪些失效。

8 min
SSP Academy 方形封面：SSP Enterprise 中的交易模拟

交易模拟：在你签名之前，这笔交易究竟会做什么

一笔交易效果的预览、十四项风险检查、地址投毒识别——以及为什么这一切都不被允许拦住你的签名。

8 min
SSP Academy 方形封面：SSP Enterprise 中的关键操作与重新签名

关键操作：为什么有些动作会再次索要你的两台设备

有十三项操作需要重新签名，而不是一枚会话 cookie。为什么挑战由服务器撰写、它绑定了什么，以及为什么失败的尝试同样被记录。

6 min
SSP Academy 方形封面：究竟什么能拦下一笔交易

究竟什么能拦下一笔交易

白名单、时间锁与批准规则塑造的是「什么会被提出来」。只有签名阈值由链强制执行。一个诚实陈述的三层威胁模型。

6 min
SSP Academy 关于移动端双因素认证指南的封面，深色背景上有钱包、密钥和盾牌图标。

移动端 2FA：正确做法与错误做法

SMS 2FA 很弱。了解原因，看 TOTP 和 passkey 何时更胜一筹，以及 SSP Key 如何用第二把密钥为每笔交易协同签名。

8 min
为加密 OpSec 检查清单设计的 SSP 安全封面，带有钱包、钥匙、盾牌和芯片图标

你的加密 OpSec 检查清单

用这份每季度 15 分钟的 OpSec 检查清单审计你的自我保管：密钥、设备、授权、周边账户、钓鱼防范与恢复演练。

6 min
封面插画，钱包、钥匙、盾牌与芯片图标，旁边是标题《供应链攻击与确定性构建》

供应链攻击与确定性构建

什么是软件供应链攻击、为何加密钱包是首要目标，以及确定性构建与审计如何让你验证自己运行的软件。

7 min
关于 BIP-39 passphrase 指南的方形封面，钱包、钥匙、盾牌和芯片图标位于 SSP 安全徽章之上。

用不用 passphrase：这笔取舍

BIP-39 passphrase（可选的“第 25 个词”）既能保护被盗的助记词，也可能让你永久失去资金。它带来什么、代价是什么，以及与 SSP 有何不同。

7 min
SSP 安全封面，深蓝色方形卡片上配有钱包、钥匙、盾牌和芯片图标

加密用户的浏览器扩展卫生

面向自我托管的浏览器扩展安全：审慎安装、施行最小权限、借力 LavaMoat，并让 SSP 的 2/2 为恶意扩展兜底。

6 min
SSP 安全封面，展示钱包、密钥、盾牌和芯片图标，说明加密货币钓鱼攻击防范指南。

针对加密货币用户的钓鱼攻击（及识别方法）

加密货币钓鱼攻击针对的是你，而非密码学。了解常见模式——钱包窃取器、授权钓鱼、地址污染——以及 SSP 如何提供帮助。

7 min
钥匙、锁、盾牌和数据库图标，象征加密资产继承与紧急访问规划

加密资产继承规划：紧急访问

加密资产继承规划为继承人提供通往资金的路径，又不暴露密钥。本文梳理实用方法，并坦诚每种方法的取舍。

7 min
SSP Academy 封面，带有锁、闭眼、盾牌和钥匙图标，标题为密钥被攻破时

加密钱包密钥被攻破后会发生什么

在 2-of-2 多签钱包中，一把密钥被攻破是紧急情况，但不等于资金被盗。如何识别、控制并快速轮换密钥。

6 min
SSP Academy 封面：两台设备都丢了，从助记词完整恢复钱包

用助记词恢复你的加密钱包

两台 SSP 设备都丢失了？通过本篇冷静的分步完整恢复指南，从你的 BIP39 助记词恢复整个钱包。

7 min
SSP Academy 关于丢失手机后恢复钱包的封面，配有指纹、钥匙、盾牌与钱包图标

丢失手机后如何恢复加密钱包

丢失了运行 SSP Key 的手机？在新设备上恢复 SSP Key，浏览器密钥在 2-of-2 中继续守护你的资金。

8 min
SSP Academy 关于丢失浏览器后恢复钱包的封面，配有钥匙、盾牌、钱包与闪电图标

丢失浏览器后如何恢复加密钱包

在新电脑或被清空的配置文件中丢失了浏览器扩展？用 SSP Key 恢复你的 SSP 钱包，无需助记词。

7 min
Wallet Recovery 101 封面，带有钥匙、盾牌、数据库和钱包图标

如何恢复加密钱包：密钥与助记词的区别

清晰的加密钱包恢复指南：助记词、派生密钥和元数据各自的作用，以及恢复钱包真正需要什么。

7 min
用于 你的第一笔 $1,000 自托管清单 的深蓝 SSP 封面，深色渐变上排列着钱包、钥匙、盾牌和指纹图标

你的第一笔 $1,000 自托管清单 — 具体的入门 playbook

八个有序步骤，配置 SSP 2-of-2、写下两份 seed、测试恢复，并在一个下午里把你的第一笔 $1,000 移出交易所。

8 min
用于 不必走到 cold storage 的自托管 的深蓝 SSP 封面，深色渐变上排列着钱包、钥匙、盾牌和闪电图标

不必走到 cold storage 的自托管 — 多数用户需要的中间路线

自托管不是单一配置。光谱上的正确点是 warm storage——你真正在用的多签——而非 air-gapped 冷存储。

8 min
用于 自托管真正对你要求什么 的深蓝 SSP 封面，深色渐变上排列着钥匙、盾牌、指纹和 CPU 图标

自托管真正对你要求什么 — 诚实的清单

备份、运营安全、设备管理、恢复规划、时间与注意力：自托管放在你肩上的五类账单，不加任何营销修饰。

8 min
用于 交易所可能遭遇的 7 种失败模式 的深蓝 SSP 封面，深色渐变上排列着盾牌、锁、隐藏眼睛和闪电图标

交易所可能遭遇的 7 种失败模式（以及每一种长什么样）

资不抵债、被黑、监管冻结、exit scam、制裁、KYC 锁定、暂停提现——你的资金离开 custodial 交易所的七种方式。

9 min
用于托管型 vs. 非托管型钱包的深蓝 SSP 封面，深色渐变上排列着 wallet、钥匙、盾牌和 CPU 图标

托管型 vs. 非托管型钱包：定义、权衡，以及那些悄悄是托管型的钱包

托管 vs. 非托管到底是什么意思，区分两者的 12 词测试，以及那些假装不是托管型的钱包。

7 min
深蓝 SSP 封面，深色渐变上排列着 wallet、钥匙、盾牌和 CPU 图标，开启自托管基础系列

Not your keys, not your coins：这句话从哪儿来，又为什么一直应验

加密世界里最常被重复也最常被忽视的一句话的起源与含义，附 Mt. Gox、Celsius 和 FTX 案例，以及何时忽视它是理性的。

7 min
金库图标守护用户钱包，使其免受交易所标识的影响，象征自我托管

为什么自我托管在当下至关重要

自我托管意味着钥匙在你手里。本文讲清托管失败究竟是什么样、自我托管究竟是什么，以及诚实的取舍。

5 min
一张纸卡上印着十二个助记词，旁边放着一台硬件钱包

助记词保管最佳实践

助记词究竟是什么、如何保管才能既不丢失也不泄露，以及 SSP 的 2-of-2 多重签名如何改变威胁模型。

7 min