錢包與託管：誰掌握密鑰？

從權限出發

錢包是用於與區塊鏈交互，以及管理授權操作的密鑰或簽名安排的工具。在自託管中，用戶控制相關憑證；在託管安排中，另一家機構控制憑證，並按自身條款為客戶記帳。兩者在手機屏幕上可能看起來相似，因此僅憑介面，幾乎無法判斷法律權利或恢復選項。

問一個實際問題：如果提供商的網站明天消失，你憑甚麼能訪問資產？恢復助記詞可能允許兼容的自託管錢包恢復簽名訪問權。託管平台的用戶名和密碼，通常不能提供同樣的獨立能力。反過來，託管機構可能提供自託管安排無法提供的帳戶恢復服務。

熱錢包、冷錢包與簽名流程

熱錢包的密鑰或簽名能力可通過聯網環境訪問。冷儲存安排則試圖讓簽名秘密保持離線。硬體錢包可以保護密鑰材料，但不能讓每筆交易都安全。如果有人批准了非預期轉帳或危險的合約權限，即使安全地簽署指令，也仍會執行錯誤決策。

恢復助記詞不是普通的故障排查信息。獲得它的人可能無需知道你的平台密碼，就能取得控制權。看似真實的客服對話、付費搜尋結果、瀏覽器擴展及虛假更新，都可能成為盜竊入口。保存到雲帳戶的截圖，也可能增加一條洩露秘密的路徑。安全需要考慮整個流程，而不只是購買一台設備。

託管涉及合約與失效情景

評估託管方時，應檢查法律實體、資產隔離條款、提現條件與企業失敗時的處理方式。“機構級”等營銷用語並不規定客戶法律權利。保險可能有限額、除外責任，受益人也可能不是個人客戶。儲備證明信息本身，同樣不能完整反映負債或所有權利負擔。

對於自託管，應檢查備份耐久性、繼承安排、設備故障與簽名錯誤的可能。更複雜的系統可能引入自身的操作錯誤。某人今天理解的設定，未來的遺囑執行人或丟失設備後的本人可能無法使用。相關目標是建立易於理解、經過測試的流程，而非追求最大複雜度。

網絡、地址與記錄

僅憑代幣代碼不足以識別轉帳路徑。相似名稱可能出現在多個網絡上，而接收服務可能只支持特定版本。有些目的地需要額外的備註或標籤。地址看起來有效，並不能證明它屬於預期收款人。剪貼板惡意軟體和地址投毒騙局，會利用粗略的目視檢查漏洞。

教學轉帳檢查表應分別列明目標資產、網絡、目的地址、額外路由欄位、費用及確認要求。小額測試轉帳可以發現部分錯誤，但不能保證後續交易安全，也不能保證地址未被更改。保留交易標識和成本記錄以便核對。稅務及申報要求因地點而異；在沒有當地指導的情況下，不應把帳戶之間轉移資產與計算應稅收益混為一談。

一次授權可能影響未來的資產轉移

在ERC-20代幣的授權模型中，持有人可以允許某個指定地址在額度內代為轉移代幣。設定授權時，餘額未必馬上改變。因此，「簽完後錢還在」不能證明簽名沒有經濟後果；它可能為後續操作建立了權限，而不是立即完成一筆付款。

假設錢包持有2,400枚代幣，而計劃只兌換120枚。請求的授權額度可能是120枚，也可能高得多。分別核對資產合約、獲授權的一方和額度，確認錢包顯示的請求是否與預期操作一致。熟悉的商標或網頁名稱不能代替對實際授權對象的檢查。

中斷網站與錢包的連線，不一定會撤銷已經寫入鏈上的授權；撤銷授權也不能倒轉此前已完成的轉移。整理安全記錄時，除了列出「我持有甚麼」，還應列出「誰在甚麼條件下可以動用這些資產」。不要把介面連線狀態與鏈上支配權限混為一談。

備份數量多，不等於故障彼此獨立

兩份備份放在同一個袋裏，可能被同一場事故同時毀壞；兩個檔案放在同一雲端帳戶中，也依賴同一套登入憑證。評估恢復能力時，應關注共同故障，而不是只數複製了幾份。增加副本也可能擴大洩露範圍，因此數量並非越多越好。

用紙面推演手機遺失、電郵帳戶被接管，以及無法進入存放地點這三種情況。每種情況下還剩哪條恢復途徑？恢復步驟是否又需要那部已經遺失的手機？練習只寫角色、步驟與依賴關係，不要把真實私鑰或助記詞放進共享文件、聊天記錄或測試網頁。

流程還應在緊張時能夠理解和執行。更多裝置、簽署人或驗證步驟，可能減少一種風險，同時增加操作失誤與協作困難。明確誰負責甚麼、按甚麼順序核對，但不要為了「方便整理」而把所有秘密集中在同一個容易被存取的位置。