The challenges of non-custodial embedded wallets | Thibault de Lacheze-Murel (Dfns)

嵌入式錢包（Embedded Wallet）的出現，是為了解決 Web3 onboarding 的摩擦問題。傳統上，用戶必須自行保管助記詞，這對一般人來說門檻極高；嵌入式錢包改以電子郵件、指紋或面部辨識來驗身，並在底層使用 Shamir Secret Sharing 或多方計算（MPC）將私鑰拆分成多個「共享片段」儲存於不同地方，在不降低所有權保障的前提下，盡可能貼近 Web2 的使用體驗。

然而，恢復流程的設計卻暗藏風險。當用戶換設備時，儲存在舊設備瀏覽器本地的密鑰共享片段會消失，因此系統必須提供一套恢復路徑。目前生產環境常見的做法是：在創建錢包時，嵌入式錢包提供商會將一個 auth token 以 cookie 的形式存放在 DApp 的域下。當用戶換裝置後，只要向 DApp 重新驗身，DApp 便會取出這個 token，用它向錢包提供商觸發密鑰刷新（key refresh），重新生成共享片段，恢復對錢包的存取。

問題的核心在於：這個 auth token 本身就足以完成整個還原流程。演講者撰寫了一段 PoC 腳本，僅憑用戶向 DApp 驗身後拿到的 auth token，就能對錢包提供商發出 API 請求，最終取得鏈上私鑰。更棘手的是，DApp 域下的 cookie 難以被嚴格管控，可能散落在 Datadog、日誌系統、CDN 等各種後端基礎設施中，任何能讀取該 cookie 的內部人員或攻擊者，都具備竊取私鑰的能力。這代表 DApp 在用戶毫不知情的情況下，實際上成了托管方。

針對這些問題，演講者提出兩條改進路線：第一，全面採用公鑰密碼學進行身份驗證，例如 WebAuthn 或 PassKey，確保只有用戶的裝置持有私鑰，提供商僅保存公鑰，無法獨自偽造授權；OTP 這類基於共享密鑰的方案則應被淘汰，因為提供商與用戶共享同一秘密，一旦被濫用無從舉證。第二，應讓驗身憑證（credential）與鏈上私鑰在安全層面解耦，避免「能登入 DApp」等同於「能還原私鑰」這種危險的等價關係。演講者也呼籲安全審計社群將目光從智能合約延伸至鏈下基礎設施，因為與區塊鏈互動的所有鏈下系統同樣存在大量未被重視的漏洞。