密码管理器与加密货币：哪些可以存，哪些绝对不能存

密码管理器很适合存放交易所和邮箱密码，但不适合存放助记词或私钥：这些应当保持离线，因为任何拿到它们的人都将永远控制你的加密资产。正确使用时，密码管理器能让你的加密货币账户安全得多；如果把它当成什么都往里放的保险箱，它就可能成为单点故障。

大多数加密货币盗窃始于账户被盗或秘密信息被窃取，而不是区块链被攻破。本指南将解释攻击者如何瞄准密码库及其中的秘密信息，哪些该存、哪些不该存，以及出问题时该怎么办。

哪些可以存，哪些绝对不能存

指导原则：密码管理器保护的是账户的访问权限，而这些账户还有其他保障措施（提现延迟、2FA、客服团队）。助记词则没有任何保障。想了解原因，请阅读什么是助记词以及恢复短语如何运作。

攻击者如何瞄准密码库和秘密信息

了解攻击途径，就能理解上述规则：

1. 1信息窃取恶意软件。 假冒应用、破解软件或恶意浏览器扩展会从你的电脑中复制浏览器数据、已保存的密码和文件。如果你的密码库处于解锁状态，或者你的助记词存放在某条笔记里，几秒钟就可能被盗走。
2. 2钓鱼骗取主密码。 虚假登录页面或伪造的“密码库安全警报”邮件会要求你登录密码管理器。
3. 3服务商数据泄露。 一些密码管理器公司曾遭遇入侵，加密的密码库数据被复制。加密只有在你的主密码强到足以抵御猜测时才能保护你。
4. 4剪贴板劫持。 恶意软件监视你的剪贴板，把你复制的钱包地址替换成攻击者的地址，或截获你复制的助记词。
5. 5在密码库中搜索关键词。 一旦进入密码库，攻击者就会搜索“seed”“mnemonic”“wallet”或“private key”等词。

一个假设的例子

以下是用于说明的综合示例，并非真实案例。设想 Alex 把所有东西都存放在同一个密码管理器里，其中包括一条标题为“MetaMask seed”的笔记。Alex 安装了一个免费的“加密货币价格追踪”扩展，结果它是恶意的。它在 Alex 输入主密码时截获了密码，并导出了整个密码库。攻击者搜索“seed”，导入钱包，并在一小时内将其清空。Alex 的交易所账户之所以幸免，只是因为提现需要硬件安全密钥。两种结果的差别，就在于每个秘密信息存放在哪里。

你的密码库或账户正成为目标的警告信号

• 要求你“验证”或“重新同步”密码管理器或交易所账户的邮件。
• 并非由你触发的登录提醒或 2FA 请求。
• 密码管理器拒绝在你以为是自己交易所的网站上自动填充。
• 出现你不记得安装过的新浏览器扩展。
• 收到邮箱账户意外的密码重置邮件。

如何安全地为加密货币设置密码管理器

1. 1选择信誉良好的管理器，它应公开安全模型并提供端到端加密，且只从官方网站或应用商店下载。
2. 2创建强主密码短语，由几个你在其他地方都不使用的随机单词组成，并把它写下来存放在安全的地方，以备紧急恢复。
3. 3为密码库开启强双重验证，最好使用硬件安全密钥或身份验证器应用，而不是短信。
4. 4生成独立密码，为每个交易所、邮箱账户和加密服务分别设置。优先保护邮箱，因为它可以重置其他一切。
5. 5把自动填充当作钓鱼检查。 如果它没有提示填充你的凭据，请在输入任何内容之前仔细检查网址。
6. 6不要放入钱包秘密信息。 助记词要离线保存。如果想在密码库中留个提醒，只写备份存放在哪里，不要写备份的内容。
7. 7自动锁定密码库，在短暂闲置后以及设备休眠时自动锁定。

想建立更全面的习惯，请参阅我们的指南：建立稳固的加密货币安全习惯和加密货币用户的邮箱账户安全。

如果你的密码库被入侵该怎么办

1. 1假定其中的每个秘密信息都已泄露。 如果里面存有助记词，请立即将资金转移到使用新助记词的新钱包；按照钱包被盗后应立即采取的措施操作。
2. 2先修改邮箱密码， 再修改交易所密码，并使用一台干净的设备操作。
3. 3重置双重验证，并在交易所撤销不明会话和 API 密钥。
4. 4检查提现地址白名单，看是否有你未添加的地址。
5. 5扫描或重装受影响的设备，然后再继续使用。
6. 6举报钓鱼网站和诈骗地址，向相关服务方举报，并通过我们的诈骗举报表单提交。

总结

只要存放的是正确的内容，密码管理器就是加密货币用户能拥有的最佳安全工具之一。用它来管理独立的账户密码，并借助自动填充进行钓鱼检查；用强密码短语和基于硬件的双重验证来保护它；同时把助记词和私钥离线保存，让恶意软件和数据泄露无从触及。