数字钱包行业安全性报告_28页_1mb

数字钱包行业安全性报告总结

核心内容

本报告分析了2018年数字钱包行业的安全性状况，指出行业在技术与人工方面均面临显著风险。同时，报告展望了2019年钱包安全领域的发展趋势，强调安全审计体系完善、兼容性钱包崛起以及资管业务中的人工风险管控将成为重点。

主要观点

• 行业增长：截至2018年12月，全球数字钱包项目总数超过340个，相比2017年增长约30%。钱包用户数突破3,400万，2018年第二季度用户增长率超过10%，但第三季度下降至7%。
• 安全损失：2018年因钱包安全问题造成的损失约为12亿美元，是交易所损失的1.4倍。
• 安全风险分类：钱包安全问题主要分为技术类风险和人工类风险。技术类风险包括载体风险、私钥存储风险、网络协议风险、登录风险、交易风险及资产转移风险；人工类风险则涉及供应链风险和权限链风险。
• 安全审计需求增加：随着行业的发展，安全审计业务需求将增加，目前主要针对技术性风险，但对硬件钱包和PC端钱包的覆盖仍不足。

关键信息

技术类风险

3.1 载体风险

• 钱包分为硬件钱包和软件钱包，其中硬件钱包因使用专门加密芯片而安全性较高。
• 硬件钱包中，约65%的项目满足CC EAL4标准，但仍有部分项目未达标。
• 2018年Top10硬件钱包中，仅70%的项目使用金融级安全芯片。

3.2 私钥存储风险

• 钱包分为中心化和去中心化两种，去中心化钱包安全性更高。
• 去中心化钱包占比约79%，表明用户普遍倾向于更安全的私钥存储方式。
• 开源钱包有助于提升用户信任和安全，2018年Top10钱包中约50%为开源项目。

3.3 网页劫持风险及登录风险

• 网页劫持风险包括HTTPS和DNS劫持，用户需谨慎验证链接。
• 登录风险中，双因子验证可提高安全性，但仅约42%的钱包项目支持该功能。
• 部分钱包使用用户特有属性（如指纹）进行交易二次确认，提升安全性。

3.4 交易风险

• 交易需私钥签名，支持多签名的钱包可降低个体风险。
• 多签名钱包占客户端钱包的31%，但尚未普及至普通用户。
• 交易二次确认机制使用规范不统一，多数项目使用固定字符串。

3.5 资产转移风险

• 使用HD钱包（如BIP-39、BIP-44）可实现安全转移。
• 硬件钱包中约9%具有暴力破解自毁功能，但普及度不高。

人工类风险

4.1 供应链风险

• 硬件钱包供应链风险较高，项目方通过物流安全和初始化验证进行管控。
• 80%的硬件钱包项目支持物流安全保证，90%支持初始化验证。

4.2 权限链风险

• 权限链风险源于中心化存储结构，可能引发内部操作风险。
• 40%的中心化钱包损失与权限链有关，如QuadrigaCX事件所示。

安全领域展望

5.1 安全审计业务的扩张

• 钱包安全审计业务需求将在2019年进一步增加。
• 审计内容包括系统漏洞扫描、私钥生成安全、交易签名安全等。

5.2 兼容性钱包的崛起

• 随着用户增长，兼容性钱包（支持中心化与去中心化存储）将受到更多青睐。
• 钱包需兼顾用户操作习惯，同时提升安全性，以减少用户流失。

5.3 资管业务的绊脚石

• 资管业务快速发展，但中心化存储结构导致人工类风险增加。
• 需要有效管控私钥控制权及人工转账等风险，否则将影响业务发展。

附录概览

• 硬件钱包：Blue、Model T、Nano S等项目在安全性和功能上有一定优势。
• 轻钱包：Cobo Wallet、Qbao Network、BitKeep等项目在功能丰富性和安全性方面表现突出。
• 钱包功能：包括交易服务、行情资讯、理财工具、对接应用等，部分项目已开始布局资管业务。