Advanced Wallets

概念： Why Advanced Wallets, Multisig: Safe, Account Abstraction: ERC-4337, Smart Account Features, Social Recovery, MPC Wallets, Choosing Your Strategy

:::section{mins=5} 为什么需要高级钱包 :::

:::lead 一个密钥，一个故障点。多重签名增加了更多密钥，但2025年2月21日Bybit事件表明：被攻击的不是密钥，而是密钥与签署内容之间的层。解决方案不是"更多密钥"，而是不同层面的防御。 :::

:::p{html} 在卡片3.1中我们将钱包看作密钥对加上保护私钥的方式：它存放在哪里，谁持有它，围绕它建立了多少日常流程。这一描述对大多数用户场景是完整的：热钱包+硬件钱包的组合（3.1 §5）在合理的习惯下可以覆盖$5K-$100K。但"一个密钥控制一切"的模型存在架构天花板。签署的交易进入网络后不可逆：[[gloss:eoa|EOA]]没有内置的交易金额限制、没有"等等让我想想"的延迟、没有要求第二个审批人的方式。这不是糟糕的用户体验或缺失的功能––而是Ethereum在共识层验证交易方式的结果。 :::

:::p{html} 2025年2月21日，14:13 UTC：交易所Bybit发起一笔从冷钱包到温钱包的常规转账，金额30,000 ETH。钱包是Safe{Wallet}，一个3-of-6的[[gloss:multisig|多重签名]]。三位签署者在各自的工作站上打开Safe应用，看到一笔熟悉的交易（接收地址、ETH金额、普通转账），每人在自己的[[gloss:hardware wallet|硬件钱包]]上签署。几分钟后，冷钱包失去的不是30,000 ETH而是401,347 ETH––大约14.6亿美元。这是加密货币史上最大的盗窃案。多重签名完美执行了它的设计功能：三个签名被收集，每个在密码学上有效，合约执行了被签署的内容。攻击发生在另一层––Safe{Wallet}的网页界面上，其JavaScript在两天前通过被入侵的AWS基础设施被替换。签署者看到一笔交易却签署了另一笔。硬件设备只显示一个哈希（不可读的字符串），三个人独立按下了"确认"。 :::

:::p{html} 这里的教训不是"多重签名不管用"。多重签名工作正常。教训是另一件事：安全不能归结为单一参数（密钥数量），而是分布在多个层面：密钥存放在哪里，谁持有它，界面显示什么，合约验证什么，丢失时如何恢复访问权限。过去十年中，行业形成了四大类解决方案，每类加强不同的层面。多重签名将签署权分配给多个密钥持有者，防御任一密钥的泄露。[[gloss:account abstraction|账户抽象]]（[[gloss:erc-4337|ERC-4337]]，2023年3月；[[gloss:eip-7702|EIP-7702]]，2025年5月）将验证逻辑移入智能合约，实现消费限额、批量处理、可编程规则。社交恢复在密钥丢失时通过可信监护人恢复访问。MPC（多方计算）将私钥分成碎片，碎片永远不会同时存在于一处。本卡的其余部分逐一剖析每个层面：它实际防御什么，其局限在哪里，以及它们在实践中如何组合。 :::

:::callout 学校通过分层评估给学生打分。如果只有一次期末考试一次机会––那就是EOA模型：失败就出局，运气好就毕业。但学校花了几个世纪叠加不同形式的评估：一个学期的累计成绩（一天表现不好不会抹掉一切），多位老师组成的考试委员会（单个考官无法因个人偏见让你不及格），有准备时间的补考（一次失误不意味着从头开始），平行的考试形式––口试、笔试、实践（一种形式的弱点不会掩盖真正的差距）。没有任何一层能让学生更聪明。每一层都降低了单点故障毁掉多年努力的风险。高级钱包的工作方式完全相同：每种解决方案是针对自身故障类型的独立保险层，而不是对普通钱包的"升级"。 :::

:::keypoints{label="关键要点"} html: Ethereum中的EOA是一个[[gloss:ecdsa|ECDSA]]密钥（secp256k1曲线）和一条验证规则：sender == ecrecover(tx_hash, signature)。此规则内置于协议的执行层，EOA层面无法修改。账户本身没有"签名之上"的逻辑––无法添加消费上限、批量操作、用USDC支付gas、或要求"其他人也必须批准"。这是架构约束，高级钱包是在不改变Ethereum本身的情况下绕过它的不同方式。 html: Bybit，2025年2月21日，14.6亿美元：3-of-6多重签名正常运作。签署者签署了一笔交易，合约进行了验证。攻击发生在密钥与签署内容之间的层：Safe{Wallet}网页界面，Lazarus Group（朝鲜）通过被入侵的AWS基础设施注入了恶意JavaScript。签署者以为他们在转账30,000 ETH；实际签署的是将Safe的实现合约替换为恶意合约。硬件设备只显示哈希––未解码––使签署变成了盲签（参见3.1 §5）。 html: 四大类解决方案在不同时期、不同背景下出现：Bitcoin多重签名（BIP-16，2012年），Safe（Ethereum，2017年），MPC托管（Fireblocks，2018年），ERC-4337账户抽象（2023年），EIP-7702（Pectra，2025年）。它们不构成阶梯，不是每个后来的都比前一个好。它们是对不同风险类别的不同回应：单密钥泄露（多重签名）、不受控的签署（AA添加限额和批处理）、丢失访问权限（社交恢复）、密钥集中在单点（MPC）。在任何实际设置中，它们通常按层组合。 html: 2026年，"纯粹"的单类策略很少见。实践标准是按价值层级组合：3.1中的热钱包+硬件钱包用于日常操作（$5K-$100K），Safe 2-of-3多重签名用于较大金额（$100K-$10M），社交恢复作为长期存储的保险。但任何组合都不能替代手动检查：核实地址、核实金额，并与硬件设备屏幕实际显示的内容进行对照。 :::

:::further{label="延伸阅读"}

:::quiz{id=q-3-2-s1 label="自我检测" correct=2 explanation="正确。 三位签署者在Safe{Wallet}界面中看到一笔常规的30,000 ETH到温钱包的转账，他们正是签署了这个––在哈希层面。但Safe的网页界面已被入侵：服务应用程序的JavaScript从AWS S3被替换了，这发生在攻击前两天，通过入侵Safe开发者的机器。签署者无法在硬件屏幕上解码复杂交易（参见3.1 §5，盲签），他们签署的不是转账，而是将Safe的实现合约替换为恶意合约––之后资金通过sweepETH()被抽走。Safe智能合约本身没有漏洞，按设计正常工作；密钥未被泄露，所有者保留了完全控制权。攻击针对的是签署者与合约之间的层––所有人都信任的界面。"} 2025年2月21日，Bybit从一个3-of-6多重签名中损失了14.6亿美元。黑客攻击的主要原因是什么？

  • 钱包的全部六个密钥都被攻击者获取了
  • 对于持有如此大金额的冷钱包来说，3个签名的阈值太低了
  • 签署者签署的交易与Safe{Wallet}界面显示的不同 :::

:::section{mins=6} 多重签名：协作签署 :::

:::lead Bybit不是第一个。四个月前，Radiant Capital的3-of-11 [[gloss:safe|Safe]]多重签名以同样的模式被盗5000万美元：被入侵的界面、有效的签名、Ledger上的[[gloss:blind signing|盲签]]。行业已经知道了，但没有及时重建流程。问题不在于多重签名––而在于多重签名的精细调优。 :::

:::p{html} 多重签名是执行操作需要收集M个可能签名中的N个的要求。这个想法很古老：需要两把钥匙的银行保险库，需要两名军官的核密码。它很早就进入了加密领域，通过两扇架构上不同的门。Bitcoin在2012年初原生获得了多重签名：相应的操作被内置到协议的脚本语言中，"M个签名中的N个"条件成为花费硬币的内置规则。Bitcoin钱包无法设定任意逻辑––检查签名是它唯一会做的事。这是设计上的缩窄，但也是一种保护：Bybit式的攻击（攻击者替换被签署内容的内容）在Bitcoin中在结构上是不可能的，因为没有什么可以替换。 :::

:::p{html} Ethereum走了另一条路：虚拟机中没有原生多重签名支持，实现是一个任何团队都可以部署的智能合约。所有者的签名在链下收集（通过方便硬件钱包的结构化签名），然后一笔交易附带签名数组发送到区块链。合约验证签名数量足够且有效，然后执行操作。这种灵活性带来了丰富的可能性，同时也扩大了攻击面––这正是我们在§1中看到的。 :::

:::p{html} 在Ethereum上，Safe（前身为Gnosis Safe）成为了事实标准。截至2026年初，通过Safe运行着Ethereum经济的重要部分：352.5亿美元的管理资产，6111万个Safe账户，累计通过Safe处理了1.4万亿美元以上。用户包括Ethereum Foundation、Uniswap、Aave、Lido。 :::

:::p{html} 主参数––阈值––的选择取决于保护的内容：2-of-3––个人设置，$50K-$500K。3-of-5––团队设置，$500K-$10M。4-of-7––DAO/金库，大型协议。 :::

:::p{html} 多重签名是强大但狭隘的工具。它可靠地防御：单密钥泄露、内部欺诈、单设备丢失。但不防御：前端UI攻击、基础设施单点故障、对所有所有者的社会工程攻击、硬件设备上的盲签。经常被低估的主要风险是阈值设置过低。Radiant Capital的3-of-11意味着只有27%––攻击者只需入侵三分之一的所有者。 :::

:::callout 剧院的闭门首演遵循同样的原则。要升起幕布，三位关键工作人员必须同时发出"就绪"信号：导演、灯光设计师、音响工程师。如果有人生病或没到场––演出不会开始。这消除了单方面决定：没有人可以单独取消或启动演出。但这种安排不防御有人在上午排练和晚间演出之间在后台替换了布景。三人都通过监视器看着舞台，一切正常，都发出"就绪"––当幕布升起时，观众面前是一出完全不同的制作。多重签名是集体"就绪"，但不防御你以为已就绪的内容被替换。 :::

:::keypoints{label="关键要点"} html: Bitcoin多重签名自2012年4月1日起运行––14年来机制本身没有遭受过严重攻击。机构托管商（Coinbase Custody、BitGo、Gemini）正是因此将核心储备存放在其中。Safe出现于2017年，八年中遭受了Radiant和Bybit––两次打击都不是针对多重签名密码学，而是针对密钥与合约之间的层。 html: Safe是模块化的：基本的"N-of-M"可以扩展每日消费上限、延迟执行、不同类别的不同阈值。地址是确定性的––同一个Safe可以部署在任何EVM链上。与MPC不同（见§5），Safe是完全链上的：没有第三方持有密钥的一部分或策略规则。 html: 高阈值有自身的风险，与低阈值对称。太低（Radiant的3-of-11）使单次入侵成为灾难性的；太高（比如7-of-9）在几位所有者不可用时就冻结了钱包。因此Radiant在黑客攻击后不仅提高了阈值，还添加了一个平行层：Snapshot投票和48小时时间锁––一个完全独立于阈值的独立通道。 html: Bybit之后，Safe推出了十项UI更改：calldata解码、对operation: 1的强制确认、大额交易的验证。但这些只是权宜之计，不是治本：一半的问题在Safe之外。在Ledger屏幕上安全显示复杂交易需要硬件钱包固件更新，而不是Safe界面的更改。"信任单一前端"这一架构类别依然存在。 :::

:::further{label="延伸阅读"}

:::quiz{id=q-3-2-s2 label="自我检测" correct=2 explanation="正确。 A、B和D正是多重签名设计要防御的风险。2-of-3中一个被泄露的密钥对攻击者无用；单个所有者无法在没有其他人同意的情况下转移资金；M个中丢失一个设备不致命。C则不同：前端UI攻击在签署者和合约之间替换数据，所有N个签署者在同一个被入侵的UI上看到相同的伪造数据。多重签名在这里会“按设计”工作––在伪造交易上收集有效签名。Radiant Capital（2024年10月，$50M）和Bybit（2025年2月，14.6亿美元）是同一风险类别的两个案例，相隔四个月。"} Safe多重签名在架构上不防御以下哪项？

  • 阈值集中一个私钥的泄露
  • 单个所有者的内部欺诈
  • 通过被入侵的供应链基础设施替换钱包UI
  • M个所有者中丢失一个硬件设备 :::

:::section{mins=6} 账户抽象：可编程规则 :::

:::lead 在§1中我们看到了EOA的架构天花板：一个密钥，一个无条件操作。账户抽象通过将验证逻辑移入智能合约来打破这一天花板。到2026年，这种方法已经在规模上得到验证：数千万智能账户。但赋予防御能力的同一灵活性也开启了新类型的钓鱼攻击。 :::

:::callout 普通借记卡和可编程信用卡之间的区别恰好说明了这一点。EOA是借记卡：有签名（或PIN码），有余额––如果够支付，付款就通过。没有"每天不超过X而无需确认"、没有退款、没有第二签署人。你签了什么，就从账户扣什么。智能账户是带有内置规则的信用卡：每日限额、在线购物限额、大额短信确认、欺诈退款、有各自限额的家庭副卡。同一个物理"载体"––但可编程规则决定什么是允许的。ERC-4337就像发行新信用卡：你得到新号码，需要迁移自动付款。EIP-7702不同––你现有的借记卡现在可以像信用卡一样工作而不改变号码。方便。但同样的灵活性（在线支付、即时审批、可编程限额）也开放了钓鱼：有人打电话给受害者，他们读出一次性代码，"智能规则"卡允许通过一笔金额，而普通借记卡在没有亲自到场的情况下不会允许。卡越智能，进入的方式越多。 :::

:::keypoints{label="关键要点"} html: ERC-4337是深思熟虑的8年妥协。Vitalik在2015年的EIP-86中就提出了账户抽象；三次通过共识层更改推进的尝试在治理中停滞到了2023年。4337选择的不是"正确的"路径（协议层面），而是务实的路径：通过中介和gas开销获得AA，而不是改变核心。代价––每笔UserOp比普通EOA交易贵30-50%。回报––等待8年后无需硬分叉即可在主网上实现AA。 html: ERC-4337引入了普通Ethereum交易不存在的新一类中心化。Bundler不是Ethereum验证者––它们是一个独立的商业层，有自己的内存池和经济模型。截至2026年Q1，Pimlico处理约30%的UserOps，Coinbase和Stackup占大部分其余部分。如果单个主导Bundler宕机，主网上三分之一的AA操作会停止。 html: EIP-7702有一个扩大攻击面的架构特性：授权签名可以是跨链的（chain_id = 0）。这意味着一个签名可以在多个EVM网络上重放。与ERC-4337的可组合性使情况更糟：任何链上的EntryPoint都可以在没有受害者进一步参与的情况下将委托的EOA作为普通智能账户调用。一个签名 → 多条链上的潜在抽取。 html: AA有一个双刃剑的结构特性：可编程规则允许任何行为––可信的或恶意的。ERC-4337通过迁移缓解了这一点：受害者必须有意识地在新地址开设智能账户。EIP-7702没有这样的门槛––在熟悉地址上的一个签名就能把EOA变成代理。MetaMask的应对是委托者白名单和要求在钱包内部确认升级，而不是通过DApp。 :::

:::further{label="延伸阅读"}

:::quiz{id=q-3-2-s3 label="自我检测" correct=2 explanation="正确。 A错误：EIP-7702和ERC-4337是两种不同的机制––4337是新地址上的独立智能合约账户，而7702保留原始EOA地址。B错误：这是EIP-7702的关键陷阱。委托是持久的––在每笔后续交易中都有效，直到用户签署新的SET_CODE并用address(0)撤销。这种持久性正是钓鱼向量如此有效的原因。D错误：EIP-7702的创建正是为了避免4337所需的迁移。正确答案是C。"} 关于EIP-7702哪个说法是正确的？

  • EIP-7702是ERC-4337的替代名称
  • EIP-7702委托仅持续一笔交易并自动撤销
  • EIP-7702授权签名在EOA的code slot上安装持久委托，直到明确撤销
  • EIP-7702需要迁移到新的智能账户地址 :::

:::section{mins=5} 社交恢复：通过可信联系人恢复 :::

:::lead Stefan Thomas将7,000 BTC锁在了一个IronKey中––超过7亿美元从流通中永远消失。据Chainalysis估计，约20%的所有比特币以同样方式丢失：遗忘的助记词、损坏的硬盘、没有给继承人留下可用访问方式的已故所有者。[[gloss:social recovery|社交恢复]]是对这类损失的回应。 :::

:::callout 遗嘱和遗嘱执行人遵循同样的逻辑。当你活着且有行为能力时，你自己签署所有文件––不需要任何其他人。但你指定了三到五位执行人，你信任的人，他们在你能自己行动时永远不干预你的事务。如果发生什么事––你丧失了行为能力、去世了、或者就是无法访问你的账户––执行人共同行动，让你的继承人获得访问权限。法律给出异议期：不是即时发生的，有30-90天可以取消程序（如果是错误或欺诈）。当你活着且健康时，你可以随时更换执行人、取消已启动的程序、修改条件。社交恢复的工作方式相同：监护人不是你日常生活的共同签署者––他们是在你丢失访问权限时能帮你恢复的人，并有一个窗口让你说"不，那不是我"。 :::

:::keypoints{label="关键要点"} html: Vitalik 2021年的文章是一次重新定义，不是技术突破。机制自2018年（Argent）就已存在。这篇文章的作用是让行业最被引用的权威将"丢失助记词即丢失资金"从自托管的固有属性重新分类为可修复的技术债务。这一重新分类为后来的AA基础设施打开了大门。 html: 社交恢复是备用通道，不是日常操作通道。这就是与多重签名的架构区别。监护人不签署你的日常付款，不批准交易，甚至不知道你在做什么。他们只在更换密钥时激活––在钱包的整个生命周期中一两次，甚至可能从未使用。因此，你可以承受更高的阈值（5-of-9而不是2-of-3）––监护人协调很少发生。 html: 延迟窗口是关键机制，而不是阈值本身。即时恢复（监护人投票后立即更换密钥）容易受到社会工程攻击：说服三个监护人，拿走一切。36小时延迟加上对所有者的多渠道警报将其变为"说服三个监护人且在36小时内不被所有者发现"。没有延迟，社交恢复就变成了社交攻击。 html: Argent和Coinbase Smart Wallet对同一问题采取相反的方法。Argent将信任分配给人（监护人投票）。Coinbase Smart Wallet将信任分配给设备和云提供商（passkey + iCloud/Google同步）。它们关闭不同的故障模式：Argent在丢失设备和云账户后仍能存活；Coinbase在丢失设备后存活但假设你的云账户完好。正确的选择取决于你更害怕失去什么。 :::

:::further{label="延伸阅读"}

:::quiz{id=q-3-2-s4 label="自我检测" correct=2 explanation="正确。 A错误：监护人不参与日常交易––所有者独自签署。日常签名与仅用于恢复的监护人阈值之间的分离正是架构要点。B错误：延迟窗口（通常24-36小时）正是使社交恢复能抵抗对监护人的社会工程的关键––没有它，三个被说服的监护人就意味着钱包被清空。D错误：多重签名要求每笔操作都有N-of-M签名；社交恢复对一切只需要一个所有者签名，监护人阈值仅用于密钥替换。C正确：偷走所有者密钥并在你注意到之前清空钱包的小偷不能通过监护人投票来撤销––为此你需要消费限额、时间锁、关键操作上的多重签名（§2和§3中的工具）。社交恢复是多层中的一层。"} 关于社交恢复钱包哪个说法是正确的？

  • 监护人签署所有者的每笔交易
  • 足够数量的监护人投票后恢复立即发生，没有任何延迟
  • 社交恢复防御访问权限的丢失，但不防御主密钥的泄露
  • 社交恢复只是2-of-3多重签名的一种特殊形式 :::

:::section{mins=5} MPC：不存在于任何单一处的密钥 :::

:::lead 在§2中我们看到了多重签名：N个独立的链上签名，可见的信任结构。[[gloss:mpc|MPC]]（多方计算）是不同的类别––密钥仅以分离的份额存在，签名以完整密钥从未出现在任何地方的方式组装。到2026年，超过10万亿美元的机构交易量通过MPC托管流转。 :::

:::callout 银行财团的保险库直观展示了这种区别。锁有一个复杂的组合，但不是一个人知道全部，而是组合被分成五部分分给五个参与者。他们中没有人知道完整组合。要打开保险库，五个中的三个必须在场，同时按正确顺序转动各自的转盘––锁就会接受，尽管房间里没有人见过完整组合。从外面观察的人只看到一个事实：保险库打开了。参与了多少人、他们是谁、阈值是多少––都看不到。与多重签名对比––同一扇门上的几把独立锁，每把用自己的钥匙打开。在那里你可以数使用了多少钥匙，辨认它们属于谁，看到整个审批结构。相同的目标，不同的可见性配置，不同的攻击面。 :::

:::keypoints{label="关键要点"} html: MPC从理论到生产花了36年。Andrew Yao在1982年通过"百万富翁问题"正式化了该领域；第一个生产级托管（Fireblocks）于2018年推出。理论等待了数十年，直到市场大到足以证明实现成本的合理性––加密货币的机构采用最终提供了这个市场。 html: MPC有一个其他类别都没有的架构优势：钱包地址在签署者更换时保持不变。在多重签名中，更换签署者通常意味着新的合约地址和迁移。在ERC-4337中，更换所有者是链上交易。MPC的份额刷新完全在链下完成––没有迁移、没有新地址、没有链上痕迹。对于每季度轮换托管团队的机构来说，这是日常操作和重大项目之间的区别。 html: "第三方没有密钥"在技术上是正确的，但在实践中具有误导性。Fireblocks和BitGo不持有完整的密钥––但通常持有一个份额、基础设施（Intel SGX飞地）和策略引擎。通过MPC的自托管意味着信任特定供应商的实现，而不是不信任任何人。供应商间的协议不兼容：Fireblocks MPC-CMP钱包无法迁移到BitGo的TSS（门限签名方案），除非从头重新分享。 html: MPC和多重签名不是竞争关系––它们解决不同的问题。MPC在机构规模上获胜：多链、频繁的签署者轮换、高交易量、操作隐私。多重签名在透明性是特性的地方获胜：具有链上治理的DAO金库、"谁批准了这个"的公开可验证性。Bybit在§1中的损失不是因为他们使用了多重签名––而是因为UI上的盲签。多重签名是正确的工具；故障出在其他地方。 :::

:::further{label="延伸阅读"}

:::quiz{id=q-3-2-s5 label="自我检测" correct=1 explanation="正确。 A描述的是多重签名而不是MPC：在多重签名中每个所有者确实持有自己的私钥，链上合约验证N个独立签名。C错误：MPC在机构规模上的全部吸引力正在于它在任何有标准ECDSA或Schnorr签名的链上都能工作––Bitcoin、Solana、任何链。D是常见的营销陷阱：提供商不持有完整的密钥，但通常持有一个份额、基础设施（SGX飞地）和策略引擎。B正确：这就是MPC的架构定义––分布式密钥生成、门限签名、完整秘密从不在任何时刻被组装。"} 关于MPC哪个说法是正确的？

  • 每个MPC参与者持有自己的私钥，每笔交易需要链上N个签名
  • 密钥以分布式形式生成；t个参与者中的n个共同产生签名，但完整密钥从未存在于任何一处
  • MPC仅在Ethereum和EVM兼容链上工作
  • 在MPC中，Fireblocks或其他提供商对你的资金或基础设施没有任何访问权限 :::

:::section{mins=3} 策略：哪种方案适合哪种场景 :::

:::lead 没有任何单一类别能覆盖一切。多重签名在UI被入侵时失败（Bybit）；社交恢复在主密钥被盗时无济于事；MPC依赖于对供应商的信任；AA通过EIP-7702开启了新类型的钓鱼。可靠的配置是层的组合，根据金额和用例校准––而不是选择某一类别。 :::

:::keypoints{label="关键要点"} html: 默认是组合而非选择。一个真实的$5M家庭设置看起来是：三个地点的硬件签署器 + Safe 3-of-5合约 + Argent社交恢复作为覆盖层 + 通过AA模块的消费限额 + 季度审查流程。五层，每层关闭不同的故障模式。"从四类中选一个"是错误的问题框架。 html: 应避免的反模式。不足的工程：$5M的热钱包（每次钓鱼点击都是终局）。过度的工程：$10K用Fireblocks MPC（你不符合客户资格；操作成本超过了价值）。没有恢复覆盖层的多重签名用于长期存储（如果所有人都丢失设备，钱包就死了）。EIP-7702之后没有委托者白名单的AA钱包（见§3––一个签名就打开了持久后门）。 html: 跨越层级时，不要在一笔交易中迁移所有资金。当你的余额接近下一个阈值时，用小额测试资金并行建立新钱包，运行两到四周，然后分批转移资金。一笔$1M到新部署Safe的单笔转账是监控内存池的攻击者的完美目标––分时段的多笔较小转账则不是。 html: 没有任何类别的组合能替代最终的人工验证步骤：在按下确认之前阅读硬件钱包屏幕上的目标地址和金额。Bybit有架构上正确的多重签名（§1）；损失来自三位签署者信任了界面而不是硬件屏幕。 :::

:::further{label="延伸阅读"}

:::quiz{id=q-3-2-s6 label="自我检测" correct=2 explanation="正确。 A错误：MPC是机构基础设施，低于约$10M在经济上不合理，而且作为个人你通常甚至不能成为Fireblocks的客户。B错误：MPC关闭特定类别的故障（单密钥集中、多链操作）但不能替代密钥丢失的恢复或透明的链上治理。D错误：在$1M以上，单次钓鱼点击就是终局；层级很重要。C正确––真实的钱包是作为层的堆栈构建的，每层关闭特定的故障模式。§2-§5中的四大类是工具，不是替代方案。"} 关于钱包策略选择哪个说法是正确的？

  • 钱越多层越多––MPC是$100K以上任何金额的正确选择
  • 如果你使用MPC，多重签名和社交恢复就不需要了
  • 真实的设置是层的组合：硬件作为基础，多重签名叠加其上，社交恢复作为备份，AA限额在适用时使用
  • 生物识别解锁的热钱包在正确习惯下足以应对任何金额 :::