3普华永道中国谈数字资产钱包安全
普华永道中国作为安全领域的专家一直以来特别关注区块链领域的安全问题，经过长期的经验积累和研究总结，普华永道中国认为数字资产钱包安全可以分为以下三大类：APP安全、服务端安全和业务安全。
3.1APP安全
数字资产钱包，区别于传统钱包，是一款基于区块链技术的钱包。数字资产钱包没有一个完全中心化的服务器，所以钱包本身的安全性就显得尤为重要。我们将APP安全归纳为以下六个方面，分别是私钥安全、助记词安全、密码安全、安全、客户端自身安全和本地数据存储安全。
3.1.1私钥安全
私钥是整个钱包的核心，也是最为敏感的数据，一旦私钥泄露，用户将面临被攻击者盗取数字资产的风险。同时imToken官网，涉及钱包私钥的环节非常复杂，任何薄弱环节都可能被攻击者利用，导致私钥的泄露。所以私钥安全是钱包安全的重中之重。
3.1.2助记词安全
助记词是恢复钱包的重要凭证，攻击者仅需掌握助记词就能窃取用户钱包，因此助记词安全与私钥安全同样重要。但是，和私钥不同的是助记词还需要通过用户进行操作，一旦操作不当就可能导致助记词的泄露。
3.1.3密码安全
虽然密码安全在数字资产钱包的安全等级低于私钥和助记词的安全等级，但是密码也属于用户的敏感数据，密码泄露有可能会使得攻击者进行撞库攻击，使用社会工程学破解用户其他系统的账户；其次一旦交易密码和同时泄露，将使得攻击者直接恢复用户钱包。交易密码和同时泄露等于助记词的泄露，虽然发生的概率很低，但还是要尽最大的努力将风险系数降到最低以保证用户资产的安全。
3.1.安全
本身是一串加密的字符，仅的泄露也无法对用户的钱包构成威胁，但是如3.1.3描述，交易密码如果和文件同时泄露，将使得攻击者直接恢复钱包。所以从一定程度上还是要保证好的安全。
3.1.5客户端自身安全
目前，主流的数字资产钱包大多都有和两个版本移动客户端，所以我们认为数字资产钱包的安全一定要考虑移动客户端自身的安全性。
3.1.6本地数据存储安全
在本地存储数据时，是否会将敏感信息保存在本地，以及是否会对信息进行加密存储。区块链上的交易必须要保证匿名性，如果一些涉及用户身份的信息保存在本地，一旦被攻击者窃取，容易被攻击者对其进行逆向分析，最终可能导致交易被透明。
3.2服务端安全
目前，数字资产钱包种类众多，但许多钱包并不是完全的去中心化，而采用的是一些相对中心化的存储架构，比如，采用 Node的通信形式，或采用一些中心化的服务器去实现非转账功能。所以普华永道中国认为一定要将一些传统安全纳入到数字资产钱包的安全评估中，主要有以下四个方面：
3.2.1输入安全
现如今频发的区块链安全事件中，很多都是由传统安全漏洞为触发点再向外延伸的，所以数字资产安全和传统安全密不可分。事实上很有可能由于一个特殊字符没有过滤，而导致整台服务器被黑客入侵，所以传统web安全绝对不容忽视，因为它早已成为众多黑客青睐的对象。
3.2.2配置安全
在所有的安全问题中，由于配置问题触发概率低以及造成的直接影响也相对比较小，所以往往最容易被人们所忽略。但在这些年频发的安全事件中，曾经发生过由于一个服务器配置漏洞被攻击者利用，接着层层渗透至企业内网，最终成功窃取企业内部敏感数据，对企业造成不可磨灭的损失。所以数字资产钱包的安全不能忽略任何微小的细节。
3.2.3网络传输安全
如果在网络数据传输的层面出现安全问题，可能会引发中间人攻击，导致DNS劫持，流量被攻击者劫持，从而导致用户的敏感信息（私钥、助记词等）被外泄并对用户造成潜在的资金财产损失。
3.2.4网络架构安全
网络架构主要包括网络设备策略和网络拓扑两方面，考虑网络架构安全可以帮助我们对钱包网络结构现状进行有效的梳理，分析整个网络的设备配置、资源分布、架构设计，从而准确的把握网络中存在的安全隐患。
3.3业务安全
业务安全问题总是应用系统安全问题的高发项，往往一旦发生就可能会造成资金财产的损失。这其中包含了两个方面，一种是由于系统自身设计时的缺陷导致的；另一种是由于业务逻辑处理不当，导致原本的功能被绕过。
3.3.1业务逻辑安全
业务逻辑的安全是每一个领域都关注的安全重点，在区块链行业当然也不例外。在普通用户所看到的正常的业务流程，其背后可能隐藏着一个重大的逻辑漏洞，一旦被黑客利用，将可能导致用户蒙受损失。
3.3.2功能设计缺陷
如果数字资产钱包软件在设计时就存在一些功能设计缺陷，那就必然会危害到用户的权益，甚至导致用户财产受到损失。钱包软件在设计时也应该全面考虑如何保障用户的钱包安全，比如在每次打开软件时索要登录密码等简单的措施都可以进一步的保障用户的钱包安全。
4普华永道中国数字资产钱包安全评分体系
普华永道中国凭借多年在区块链行业的经验积累和沉淀，针对数字资产钱包的安全评估，现在已经建立了一套成熟完善的数字资产钱包安全评分体系，对一款数字资产钱包进行客观地评分，可以让用户更直观地了解钱包的安全性。
5后续
我们已经根据普华永道中国数字资产钱包安全评分体系测试了市场上主流数字资产钱包的安全性，并给出评分imtoken钱包中国业务，在后续的文章中将逐步介绍；并且我们还自主研发了一套数字资产钱包安全测试工具，在后续的文章中也将给大家做详细的介绍。
6联系我们
普华永道中国拥有丰富的数字资产钱包安全评估经验，可以为组织提供专业的数字资产安全评估服务。联系我们的专业团队：
张俊贤
普华永道中国风险及控制服务合伙人
电话：+86 (21) 2323 3927
邮箱：.
夏力
普华永道中国风险及控制服务高级经理
电话：+86 (21) 2323 5308
邮箱：
华静娴
普华永道中国风险及控制服务高级经理
电话：+86 (21) 2323 5107
邮箱：
郭亦卓
普华永道中国风险及控制服务高级顾问
电话：+86 (21) 2323 5913
邮箱：
