私鑰竊取

簡明定義

私鑰竊取是指攻擊者透過釣魚、惡意軟體、資料外洩、社交工程或不安全的備份方式，取得某個加密錢包的私鑰或助記詞，進而能代表該錢包簽署交易並轉移資產。

在多數公鏈中，誰能控制私鑰，誰就能發起該地址的有效交易。因此，私鑰遭竊通常比交易密碼外洩更嚴重。需要注意的是，區塊鏈交易一旦被確認，通常難以撤銷；是否能追回資產取決於資產流向、交易平台配合、執法程序與具體鏈上情況，不能假設一定可以恢復。

私鑰如何控制加密資產

加密錢包通常包含兩類關鍵資訊：

當使用者發起轉帳時，錢包會用私鑰對交易進行數位簽章。網路節點驗證簽章有效後，才會接受交易。攻擊者如果取得私鑰或助記詞，就可以在自己的裝置上匯入錢包，並將資產轉到其他地址。

助記詞通常是一組 12、18 或 24 個英文單字，本質上可用於恢復或產生私鑰。對一般使用者而言，助記詞外洩通常等同於私鑰外洩。

常見發生情境

簡單示例

假設一名新手交易者看到「領取空投」的連結，頁面提示需要「驗證錢包所有權」，並要求輸入 12 個助記詞。使用者輸入後，攻擊者立即在另一台裝置匯入該錢包，並發起轉帳。即使使用者隨後解除安裝錢包應用程式，攻擊者已經掌握助記詞，仍可能繼續控制該地址。

在這個例子中，真正的問題不是市場價格波動，而是錢包控制權已經轉移。通常的處理方式包括：立即停止使用該地址、將尚未被轉走的資產遷移到新錢包、保留證據、聯絡相關平台或執法機關。

與託管錢包和非託管錢包的關係

私鑰竊取的風險形式取決於錢包類型：

使用託管服務時，使用者通常不會直接接觸私鑰，但仍需保護登入密碼、雙重驗證、電子信箱與提領地址設定。使用非託管錢包時，使用者擁有更直接的控制權，同時也承擔更高的自我保管責任。

防範重點

• 不要向任何網站、客服或社群管理員提供助記詞或私鑰。正規錢包維護、空投領取、帳戶驗證通常不應要求使用者輸入完整助記詞。
• 離線備份助記詞，例如寫在紙上或使用耐久材料保存，並放在安全地點；避免以截圖、雲端硬碟、聊天軟體和電子郵件保存。
• 核對官方網站和應用程式來源，透過官方管道下載錢包，警惕搜尋廣告、仿冒網域和假應用程式。
• 使用硬體錢包時仍需謹慎。硬體錢包可以降低私鑰暴露在連網裝置上的機率，但如果使用者在釣魚頁面輸入助記詞，硬體錢包也無法保護該助記詞。
• 轉帳前核對地址和交易內容，特別是合約授權、無限授權、陌生簽署請求。
• 分散使用錢包，例如將日常互動錢包與長期保存資產的錢包分開，降低單點暴露風險。
• 一旦懷疑私鑰外洩，應盡快將資產遷移到新錢包。僅修改錢包應用程式密碼，通常無法阻止已取得助記詞的攻擊者。

私鑰竊取與其他風險的區別

新手需要記住的邊界

私鑰安全不是投資收益問題，而是資產控制權問題。即使某項資產本身沒有價格下跌，只要私鑰遭竊，錢包中的資產也可能被轉移。相反地，保管好私鑰並不代表交易一定獲利，它只是在技術上保護錢包控制權。

如果涉及較大金額、跨境平台或可疑交易，應保存交易雜湊、地址、聊天紀錄、網頁截圖等證據，並考慮尋求專業安全人員、交易平台支援或當地執法管道協助。

相關術語

• 私鑰：用於簽署交易的秘密資料，是控制加密錢包的核心憑證。
• 助記詞：用於恢復錢包的一組單字，通常可產生私鑰。
• 公鑰 / 錢包地址：用於接收資產的公開識別。
• 硬體錢包：將私鑰保存在專用裝置中的錢包形式。
• 釣魚攻擊：透過仿冒網站、電子郵件或訊息誘導使用者洩露敏感資訊。
• 合約授權：使用者允許智慧合約動用某些代幣的鏈上權限設定。

參考資料

• https://ethereum.org/en/wallets/
• https://bitcoin.org/en/secure-your-wallet
• https://consumer.ftc.gov/articles/what-know-about-cryptocurrency-and-scams
• https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks
• https://www.investopedia.com/terms/p/private-key.asp