DeFi security Summit 2023 - Session 8: Wallets Panel
三句話摘要
钱包作为用户在链上的最后防线，如何在安全性、用户体验和生态扩展之间找到平衡。 钱包的使命是在保护用户所有权的前提下，通过简化界面、标准化模块和主动教育，降低用户做错事的难度而非一味禁止。 钱包的核心定义：钱包不仅是转账工具，而是实现用户对资产所有权和治理的系统。它让用户能授权自己想执行的交易，防止协议或其他行为体代表用户行动，这是 Web3 的核心价值。
重點整理
重點- 1
钱包的核心定义：钱包不仅是转账工具，而是实现用户对资产所有权和治理的系统。它让用户能授权自己想执行的交易，防止协议或其他行为体代表用户行动，这是 Web3 的核心价值。
- 2
安全设计必须聚焦：私钥管理和交易授权是绝对不能外包的。将私钥访问权或核心授权逻辑交给第三方会完全破坏安全模型。简化界面设计同样关键，复杂的选项会让用户做出错误决策。
- 3
机构钱包的独特挑战：机构需要编码公司治理结构，但不应将组织政策公开在链上。可通过多签名（多个策略服务器签署）或零知识证明在链下保留隐私，同时在链上强制执行规则。
- 4
模块化账户是双刃剑：模块化（如 ERC-6900）让开发者和社区添加功能（社交恢复、消费限额等），降低钱包提供商的复杂度。但需要严格的权限模型、标准化审查和用户教育，否则诈骗模块会大量涌现。
實用技巧與重點
乾貨- 协议/标准：
- ERC-4337（账户抽象）
- ERC-6900（模块化账户）
- MetaMask Snap（功能扩展）
- 工具/平台：
- Fireblocks（机构级安全产品）
- Safe（合约账户平台，支持模块和守卫）
- Fortify（机构级 MPC 钱包）
- Cubist（密钥基础设施）
- Volume Finance（Paloma L1 链，专注钱包安全）
- CoinGecko（合约状态检查）
- 关键概念：
- 外部账户（EOA）vs 合约账户
- 密钥管理 / 多方计算（MPC）
- 社交恢复 / 社交登录
- 权限模型（类似 iOS/Android）
- 时间锁 + 多签策略
- 跨链清算（cross-chain liquidation）
- 模块化与守卫（Guards）
- 现实问题：
- Tornado Cash 污染：无法阻止接收不明来源代币，机构面临合规风险
- 监管审查交易分析
- 用户决策疲劳（点击疲劳导致盲目授权）
結論
結論“钱包的使命是在保护用户所有权的前提下，通过简化界面、标准化模块和主动教育，降低用户做错事的难度而非一味禁止。”
完整解析
詳細这场讨论从钱包在 DeFi 生态中的角色开始。与其说钱包是账户工具，不如说它是用户在链上世界的操作系统。因为链上协议无法信任，钱包成了用户对抗恶意协议的唯一防线。这意味着钱包不能有任何妥协——私钥存管和交易授权是绝对的红线。
在实现方面，讨论涉及两种账户模式的权衡。传统 EOA 是"一刀切"设计，对个人用户简单有效，但机构用户需要编码组织治理（谁需要批准、金额门槛、特殊规则等）。Safe 等平台推行的合约账户解决了这个问题，但引出新的问题：是否应该将组织政策公开上链？
讨论者们达成共识：机构政策不应完全链上化，这会暴露敏感的商业逻辑。更好的方案是使用链下策略服务器（可多重部署避免单点故障）+ 链上强制执行（多签验证、时间锁、守卫合约）。这样既保护隐私又确保最后的防线不被绕过。一个有趣的现实问题被提出：如果有人向机构账户转入 Tornado Cash 代币，怎么办？链上转账无法拒绝，机构被迫选择链下清理数据或创建"垃圾账户"隔离。
后半部分转向模块化账户的趋势。ERC-6900 允许开发者打包功能（如社交恢复、消费限额、交易模拟），用户可选择安装。这类似操作系统的应用权限模型：应用声明需要哪些权限，用户选择授予或拒绝。理想情况下，没有应用能像内核模块一样无限制访问内存（对应区块链的委托调用）。问题在于如何教育普通用户识别诈骗模块。iOS 的封闭和 Android 的开放各有代价，完美答案不存在，只能通过试验和标准化逐步改进。
讨论最后指出，钱包生态正从审计中心转向产品和用户教育。钱包应该在市场风险出现时发声提醒用户，而不是被动观察。这需要钱包提供商更主动地教育用户，同时为不同的用户群体（技术用户 vs 普通用户）提供不同的安全配置。
關鍵時刻
Pipeline v2帶時間戳的重點，會在逐字稿層級分析上線後產生。目前請先透過原始影片觀看。
事實查核
Pipeline v2說法查證是下一次管線升級的一部分。KeyFrame 只會顯示它真正能驗證的內容。
