私钥是数学，钱包是生意：2026 年 Web3 钱包乱象

私钥是数学，钱包是生意。

撰文：富贵

三条新闻，加一条隐形的，都在说同一件事

链上侦探 ZachXBT 7 月 16 日在 Telegram 放炮，说所有硬件钱包都是垃圾，不建议用来签名或存大额资产。他点名骂 Ledger Live 更新频繁还老抽风，建议用一台专用 iPhone 替代硬件钱包。消息一出，全网炸锅，「硬件钱包已死」刷屏。Trezor 高管随后给了个不算强硬的回应，承认硬件钱包和易用性至今没找到平衡，但认为 ZachXBT 是拿最复杂的机构级场景，套在了所有普通用户头上。这话说得有道理，可普通用户听完，记住的还是前半句。

十天后，加州联邦法院的一纸诉状，把这场论战衬得更讽刺。三名用户合计损失 180 万美元比特币，起因是 App Store 里一款仿冒的 Sparrow Wallet。Sparrow 官方压根没做过 iOS 客户端，山寨 App 却在商店里挂了很久，开发者举报多次，苹果处理迟缓，甚至一度反手把开发者自己的账号标记成违规下架对象。用户信的不是钱包本身，信的是苹果这块金字招牌，招牌塌了一角，钱包安不安全反倒成了次要问题。

同一周，Phantom 宣布 8 月 26 日起停止支持 Monad 网络，用户到时候没法在 App 里查余额、发交易，资产虽然还安全地躺在链上，通道却被亲手关掉了。更值得玩味的是，Phantom 关掉 Monad 的前一天，刚宣布接入了 Robinhood Chain。一条新公链上线，一条老链下架，踩在同一周的产品排期表里，背后未必没有 Monad 交易量走弱的真实数据支撑，但这件事上，用户从始至终没有投票权，这才是问题所在。这类钱包底层设计压根不给用户自定义 RPC 网络的权限，一条链的生死，取决于产品经理的资源排期，不取决于用户想不想用。

还有一件事，没有新闻头条，却在开发者论坛里悄悄发酵了几个月。2026 年 2 月，OpenClaw 生态的官方技能市场（ClawHub）遭遇供应链攻击，上千个恶意技能包混进官方市场，专门针对上百种钱包格式和浏览器凭证下手。中招的不是普通散户，恰恰是那些冲着「AI 自动交易」卖点来的早期用户。这事儿没有 ZachXBT 式的引爆点，但它戳破的泡沫，比硬件钱包论战大得多。

这些新闻分属四个维度，安全理念论战、分发渠道崩塌、准入权中心化、AI 自动化信任危机。凑在一起看，说的其实是同一件事：钱包从来没有像自己宣传的那样，把控制权真正交还给用户。每一代钱包都许诺更好的安全、更多的自由，但每一代都在自己的环节里埋下了新的单点故障。硬件钱包的故障点是人，软件钱包的故障点是分发渠道，Agent 钱包的故障点，是那个会被下蛊、还搞不清指令从哪来的 AI 大脑。

Web3 的入口，是从一个浏览器插件开始的

以太坊最早的官方客户端 Mist，要同步几十 G 的全节点数据，普通人装不起也用不起，只能算极客的玩具，界面粗糙、操作命令化，2019 年黯然停止维护。MyEtherWallet 解决了转账收币，却没有和 DApp 对话的能力，用户得手动复制私钥、手动拼交易数据，操作一步错，私钥就没了。这两款钱包都早于 MetaMask，但都称不上是能用的 Web3 入口，说穿了就是个带界面的私钥保管盒。

2016 年 MetaMask 上线，把钱包做成浏览器插件，往网页里注入 window.ethereum，DApp 第一次能直接向钱包发起签名请求。用户不用跑节点，不用抄私钥，点开网页、连接钱包、点确认，Connect Wallet 这套范式从此成了全行业标准。EtherDelta、Compound、MakerDAO，后来的 DeFi 与 GameFi 繁荣，全是踩着这条基础设施长出来的。可以说，MetaMask 之前只有地址和私钥，之后才有了真正意义上的 Web3 用户。但门槛降到脚脖子的代价，是安全的烂摊子全留给了用户自己，恶意授权、假插件、云笔记里的助记词，随便一样都能让资产一夜清零。

钱包存在的第一使命，就是安全存储私钥 + 受控、安全地对外提供签名能力

绕这么大一圈，是想说清楚钱包到底是干什么用的。区块链世界的一切行为，唯一合法凭证就是签名，转账是签一笔交易，授权是签一段指令，登录网站是签一段消息，多签与权限委托，底层依旧是层层签名校验。钱包存在的第一使命，就是把私钥安全地存起来，再受控、安全地对外提供签名能力。转账、资产管理、连接 DApp，都只是签名这件事的外包装场景。拿掉签名，钱包就是一张地址展示页，跟记账本没有区别。这句话是后面每一节的公约数，硬件、非托管、托管、Agent，吵来吵去，吵的都是这件事该怎么做才算数。

信任链不是从硬件开始断的，是从随机数生成那一刻开始的

私钥理论上是 256 位真随机数，暴力破解等于痴人说梦。但 2020 年 12 月，一批比特币从矿池地址被转走，金额当时约 35 亿美元。攻击手法不是攻破什么设备，而是钱包软件生成密钥时用了弱随机数生成器，有效熵只剩 32 位左右，现代计算机一两个小时就能跑完穷举，几千个地址像被人拿了串万能钥匙，挨个儿开锁提空。这事儿直到 2025 年美国司法部宣布没收才真正进入公众视野，这批资产原本属于陈志控制的 LuBian 矿池。私钥从娘胎里带出来的缺陷，硬件再怎么隔离也补不上，你自以为固若金汤的那串数字，出生那天可能就是残疾。

这个案例说明一件很朴素的事，信任链不是从硬件开始的，是从随机数生成那一刻就开始的。往后每一层，固件是否开源、供应链有没有被篡改、App Store 审核严不严、客服会不会被话术骗，都是这条链上的一环，任何一环松了，前面所有的物理隔离都是摆设。

硬件钱包的逻辑很朴素，私钥在离线芯片里生成和签名，永不联网，物理上隔绝远程攻击。听起来无懈可击，但把过去半年的失窃案摆在一起看，1 月的 2.82 亿美元损失，源头是客服话术骗走了助记词；4 月 App Store 上的假 Ledger Live 客户端，卷走 950 万美元；7 月的 Sparrow 诉讼，损失 180 万美元。三起案子，没有一起是硬件芯片本身被攻破，全部栽在配套软件、钓鱼 App 和人的轻信上。

ZachXBT 那句「硬件钱包都是垃圾」当然带着拱火的意思，但他戳中的痛点是真的：硬件钱包只保护私钥这一件事，保护不了拿着私钥的那个人。更有意思的是，硬件钱包这行业内部一直有种自嘲式的认知------「硬件钱包，超过 20 美元都是伪需求」。的确，一块安全芯片的物料成本压不过 20 美元，但要把它做成可信的成品，认证、审计、供应链防护每一层都在往上堆成本，所以贵未必全算伪需求。然而，当你发现一台带摄像头的旧安卓手机 20 美元就能收来，装上开源钱包、常年飞行模式，靠扫码完成离线签名再联网广播，一套朴素的冷钱包就这么跑通了------成本比 ZachXBT 推荐的专用 iPhone 还低，还不用看 App Store 审核的脸色，毕竟这次栽跟头的， 还有苹果自家的商店。这时候，那句「20 美元」的行话就撞出了另一层意思：与其迷信一个几百美元的盒子，不如想想怎么把签名这件事做得更朴素。硬件钱包没有死，死的是「插上就安全」这个童话，它顶多算资产安全的最小单元，外面还得自己砌墙。

非托管钱包：Web3 的主力军，也是最大的利益冲突场

私钥握在用户自己手里，平台碰不到资产，只提供界面、节点和聚合服务，这类钱包才是当下资金迁移的主战场。监管基本不碰钱包本体，只管得到法币通道和 DEX 聚合服务，这也是非托管钱包份额持续走高的制度性原因。链上数据说得很直白，资产被盗七成以上是钓鱼和恶意授权这类用户行为，纯代码漏洞占比很低，责任说到底自己背。

开源阵营里，Electrum、MyEtherWallet 这类老牌软件把代码全部挂在 GitHub 上，任何人都能审计，出问题也能追根溯源。闭源阵营里，MetaMask、Phantom 靠体验和生态壁垒圈住用户，但打开设置页面就会发现，能不能自己加一条自定义 RPC，才是判断一枚钱包到底有多开放的分水岭。Phantom 关掉 Monad 那次，不少用户才第一次意识到，自己原来连选择权都没有。

至于钱包怎么赚钱，说穿了并不神秘。内置 Swap 是收入大头，MetaMask 的服务费长期维持在 0.875%，Phantom 也在 0.85% 上下，Trust Wallet 走的是另一条路子，前端零费率，靠聚合器的订单返佣过日子。DApp 上架和首页推荐位紧随其后，包月费加流水抽成，头部展位常年竞价。跨链桥集成也能分一杯羹，协议方定向返佣，钱包前端不加价，用户完全无感。

到这里，一个尴尬的问题就浮上来了，一个收了项目方钱的首页推荐位，还能不能公正地提示用户这个 DApp 的风险？能提示，但未必每次都愿意提示。钱包的商业模式和用户的安全利益，在这个场景里是相悖的，推荐一个高风险但佣金高的 DApp，短期收益是确定的，用户出了事追责链条极长，最终大概率落在用户自己没看清授权上。非托管钱包不是慈善机构，它是个需要盈利的生意，这本身没问题，问题是它同时宣称自己是去中心化的基础设施，这个标签和竞价排名之间存在天然的利益冲突，行业目前对这个冲突连基本的披露机制都没有建立起来。

托管钱包：省心的账单，藏在你看不见的地方

托管钱包由交易所或持牌机构保管私钥，用户只拿一个账户密码，这是圈外人进场最顺滑的入口。好处很直接，助记词丢了能找回，KYC 走完全套合规，理财质押杠杆一站式接入，操作门槛几乎为零。坏处也同样直接，不是你的私钥就不是你的币，平台一旦跑路、被盗或者被监管冻结，用户没有任何反抗手段，交易行为全程留痕，隐私基本谈不上。

MiCA 落地、GENIUS 法案推行，合规成本暴增，近两成欧盟小型平台直接关门，大额提现集体流向硬件冷钱包，用户早就用脚投票，把托管当成了跳板而不是终点。托管钱包的盈利结构比非托管更粗暴，内置 Swap 既收显性手续费，又靠内部资金池吃买卖价差，双重盈利；跨链如果走的是内部账本记账，零协议费、零 Gas，纯粹是搬一下数字就能落袋的生意；内置的 MiniApp 生态管得最严，也赚得最狠，NFT 交易抽成能到 2% 到 3%，链游充值流水抽成 3% 到 8%，跟苹果税一个逻辑，资金全部经过平台资金池结算，T+7 到 T+15 才打给项目方，账期本身就是一层隐性收益。省心从来不是免费的，只是账单换了个收法。

Agent 钱包：2026 年最热的叙事，也是权限体系的裸奔现场

现在可以谈 Agent 钱包了，这玩意儿是 2026 年整个加密圈最热门的叙事，没有之一。MetaMask、Coinbase、币安、TON 全在推自己的 Agent 钱包产品，子钱包隔离也好，MPC 三方分片也好，讲的都是同一个故事，用户设规则，AI 自动完成兑换、定投、套利，从此躺着赚钱。

故事讲得挺好，落地的时候容易露怯。真正需要做自动化交易的人，从来不缺工具。量化团队和 MEV 玩家自己组 SDK，私钥托管走 Turnkey、HashiCorp Vault 这类商用 MPC 或者 HSM 服务，机房里再拉一条内网专线，签名节点物理上锁、日志不可篡改，这套讲究程度，比任何一款消费级 Agent 钱包都严谨得多。他们不需要钱包厂商施舍一个自动化按钮，早就自己把基础设施搭好了。换句话说，Agent 钱包瞄准的根本不是懂行的人，它的目标用户恰好是不太懂命令行、不太懂编程，但又想蹭 AI 自动化红利的那批散户。

真事儿已经发生过一次，数额不大，但攻击路径值得记一笔。今年 5 月，有人往 Grok 自动生成的一个钱包里转了一枚 NFT，这枚 NFT 在挂钩的交易机器人 Bankr 体系里，相当于一把万能钥匙，持有它就能拿到可以绕过常规转账限额的权限。攻击者随后在 X 上用摩斯电码藏了一段指令，Grok 解析出来后，照着指令批准了一笔转账，三十亿枚 DRB 代币，价值大概十五万到十八万美元，悉数打给了攻击者。事后大约八成资金被追回，损失不算伤筋动骨，但值得注意的是问题出在哪，不是 AI 被骗了才违规操作，是这套权限体系本身留了个后门，谁都能通过发一枚 NFT 给自己开绿灯，AI 不过是照单执行的那个签字人。安全圈把这类打法拆成两半看，一半是提示词注入，一半是过度授权，两条合在一起才是完整的攻击链。

这不是孤例。安全研究机构 7 月的报告显示，攻击者已经开始批量在网页和技术文档里藏匿指令，专门钓那些会自己上网查资料、执行任务的 AI 代理，得手率高到研究员都用上了「alarmingly well」这种措辞。有的钓法简单到，让 AI 误以为自己只是在缴一笔几美元的服务费。

这里头有个技术上的悖论。主流 Agent 钱包的正经设计思路，本来就不是让 AI 凭自觉守规矩，而是把限额和白名单写死在智能合约或 policy engine 里，指望的就是即便 AI 被下了蛊，硬性上限也纹丝不动。Bankr 这次栽的跟头恰恰在于，权限本身可以被一枚外部 NFT 重新发放，等于给这套硬限制开了道后门。审计一个 Agent 钱包，问的不该是 AI 判断力靠不靠谱，该问的是谁能给这个 AI 重新分配权限，而这件事有没有被锁死。

另一层风险出在更上游，是技能和插件生态本身被投毒，跟 AI 运行时被诱导完全是两回事。2 月那次针对 AI Agent 生态的供应链攻击，上千个恶意技能包混进官方市场，专门针对上百种钱包格式和浏览器凭证下手，中招的人不少就是冲着自动化交易这个卖点去的。这是供应链层面的问题，装进去的技能包本身就是恶意软件，跟提示词注入是完全不同的两条线，凑在一起才是 Agent 钱包目前面对的全部风险面。

最后一层，也是最没人愿意接的问题，是出了事责任算谁的。行业目前的共识底线，是高风险操作必须人工二次确认，AI 只能在预设规则内做标准化重复动作，这也是为什么大部分严肃的 Agent 钱包产品线目前都不敢把开关全部打开。但类似 Bankr 这样的项目，已经把自动执行做到了不需要人工确认这一步，一旦出事，损失落在用户头上，法律责任目前没有清晰框架去认定。硬件钱包被骂垃圾，至少攻击面被锁死在一个人、一台设备上。Agent 钱包把攻击面铺到了整条软件供应链和整套权限体系上，责任归属却还是一片空白。

单点信任，从来靠不住

回看开篇的新闻：ZachXBT 骂硬件钱包，是因厂商把单点安全吹成全线安全，生态千疮百孔；苹果商店假钱包，是中心化分发无法精准识别 Web3 风险；Phantom 关 Monad，是闭源钱包权限本身中心化；Agent 钱包出事，是外部 NFT 就能重发权限，技能生态放大攻击面。共同病根就是单点信任------信芯片、商店、排期或可随意重发的权限，任一出错就游戏结束。

多签（如 Gnosis Safe）能防单点签名权失控，但管不住弱随机数、假应用、权限后门或恶意合约推荐，解决不了信任链全部污染。

2026 年活法三句话：大额资产用开源硬件冷存储，助记词抄金属板物理隔离，别迷信生态与客服；商店下载的钱包可能是李鬼，正版没有就别搜，核对官方签名；Agent 钱包只放愿亏光的钱，大额必须硬件二次确认，把 AI 当实习生。私钥是数学，从不骗人；硬件、软件、分发、自动执行的每一层，都要验证，而非信任。这才是这场闹剧唯一值得带走的结论.