聊聊交易所安全：我们到底该怎么保护自己的钱

Bitfinex 被盗的事，已经过去半个月了。这个事的余波还在持续——大家还在讨论，还在反思。今天我想换个角度，聊聊这个事背后的一个根本问题：交易所到底安不安全？我们到底该怎么保护自己的钱？这个问题，值得我们每个人好好想想，认真对待，不能马虎。

交易所的”原罪”

交易所的问题，其实从一开始就存在。它的”原罪”就是：它是中心化的。所有用户的钱，都存在交易所的账户里。这就意味着，交易所一旦被攻破，所有用户的钱都没了。这是一个结构性的问题，是它的根本弱点，改不了。

这就像什么？就像你把钱存在一个银行里，但这个银行没有存款保险，没有监管，没有防火墙。如果银行被抢了，你的钱就没了——银行不会赔你，因为它自己也没钱赔。这就是交易所的现状，很危险，必须重视。

当然，我不是说交易所就是银行。交易所跟银行不一样——它不受监管，它没有存款保险，它出了事你只能自己认倒霉。这就是交易所的根本问题，是它的”原罪”，躲不掉，也改不了。

为什么交易所总是被黑

为什么交易所总是被黑？这个问题，我想了很久。我觉得有这么几个原因，每一个都很关键，都值得好好分析，认真对待。

第一，交易所是一个”金矿”。里面有大量的比特币，有大量的用户资金。黑客攻破一个交易所，就能拿到很多钱。所以，交易所一直是黑客的重点目标，这一点很清楚，也很无奈，没办法。

第二，很多交易所的安全措施不够好。他们可能觉得”我们不会被攻破”，然后就放松了警惕。但实际上，黑客的技术一直在进步，你不进步，就会被攻破。这是一个很现实的问题，必须重视，不能大意。

第三，交易所是一个”单点故障”。所有的钱都在一个地方，如果这个地方被攻破了，就全完了。没有备份，没有冗余，没有安全网。这就是中心化的代价，是它的结构性弱点，改不了，也躲不掉。

我们该怎么办

那我们该怎么办？总不能不用交易所吧？

我的建议是：可以用交易所，但要注意几点，这些点都很重要，一定要记清楚，不能忘。

第一，不要把所有的钱都放在交易所。交易所只是用来交易的，不是用来存钱的。你交易完了，就把钱提到自己的钱包里。自己控制私钥，这样才安全。这是最基本的原则，一定要记清楚，不能忘，也不能大意。

第二，选大交易所。小交易所更容易出事——它们的安全措施可能不够好，它们的资金也可能不够雄厚。大交易所相对安全一些，但也不是绝对安全，这一点要注意，不能大意，也不能掉以轻心。

第三，分散风险。不要把所有的钱都放在一个交易所里。如果一个交易所出事了，你还有其他地方的钱可以用。这是一个简单但有效的策略，很实用，一定要记住，不能把鸡蛋放在一个篮子里。

第四，用两步验证。很多交易所都支持两步验证——除了密码，还要输入手机验证码。这样即使密码泄露了，别人也登不进去。这是保护账户的最简单的方法，一定要开，不花一分钱，效果却很好。

第五，用冷钱包。如果你有大量的比特币，最好放在冷钱包里——冷钱包就是离线钱包，不联网，黑客攻不进去。热钱包只放少量的钱，用来日常交易。这样既安全又方便，是理想方案，一定要实践。

行业会怎么发展

交易所被盗多了，行业会怎么发展？我觉得，会有这么几个趋势，值得关注，也值得期待，这是好事。

第一，去中心化交易所会兴起。去中心化交易所就是不托管用户的钱——用户的钱都在自己的钱包里，交易所只是撮合交易。这样即使交易所被攻破了，用户的钱也不会丢。这是一个方向，我觉得很有前途，值得期待，这是未来的方向，一定要关注，不能错过。

第二，监管会加强。交易所被盗多了，政府就会开始关注。以后，交易所可能需要牌照，需要接受监管，需要遵守规定。这会让交易所更安全，但也会增加成本。这是一个必然的趋势，躲不掉，也没必要躲，迟早的事。

第三，安全技术会进步。交易所被盗多了，大家就会投入更多资源在安全上。比如多重签名、比如冷热分离、比如安全审计。这些技术的进步，会让交易所越来越安全。这是一个好的方向，值得肯定，也值得期待，这是好事。

冷钱包是什么

有人可能会问：你说的”冷钱包”是什么？我来解释一下，这个概念很重要，一定要搞清楚。

冷钱包，就是不联网的钱包。你的私钥存在一个离线的设备里——比如一个U盘，比如一个专门的硬件钱包。这个设备不联网，黑客攻不进去。这样你的钱就很安全，不用担心被黑客偷，这是冷钱包的好处，一定要用，不能偷懒。

跟冷钱包相对的是热钱包——热钱包就是联网的钱包，比如手机上的钱包APP，比如交易所里的钱包。热钱包方便，但不安全——因为它联网，黑客可以通过网络攻击它。这是热钱包的根本弱点，一定要注意，不能大意，也不能掉以轻心。

所以，我的建议是：大量的钱放在冷钱包里，少量的钱放在热钱包里用来交易。这样既安全，又方便。这是一个比较理想的方案，值得参考，也值得实践，一定要做到。

两步验证是什么

还有人会问：你说的”两步验证”是什么？我也来解释一下，这个也很重要，一定要搞清楚。

两步验证，就是除了密码之外，还要输入第二个验证因素。比如，你登录交易所的时候，除了输入密码，还要输入手机上收到的验证码。这样即使密码泄露了，别人也登不进去——因为他没有你的手机。这是一个很有效的安全措施，一定要开，不麻烦，也不花钱。

两步验证是一个很简单但很有效的安全措施。很多交易所都支持这个功能，但很多人没有开。我建议大家都开起来——这是保护你账户的最简单的方法，不花一分钱，效果却很好，一定要做，不能偷懒。

写在最后

交易所安全，是这个圈子里的一个大问题。它不是某一个交易所的问题，是整个行业的问题。这个问题，我们必须面对，必须解决，躲不掉，也没必要躲。

我会接着关注这个事的发展。交易所安全会怎么改善？去中心化交易所会不会兴起？我会持续关注，有什么新情况再跟大家好好聊聊，慢慢来，不着急，这是一个长期的过程。