托管类术语：热钱包、冷钱包、只读模式、助记词

托管是货币最古老的问题换上了新衣服：谁真正能动这笔钱？五个词条，把“您的资产在我们这里很安全”这类营销话术，变成一个答案可以被核对的问题。

托管与非托管

一句话：托管模式下，别人可以不经你同意就动你的钱；非托管模式下，谁都不能 — 包括状态糟糕的那些天里的你自己。

长文。分界线不在品牌，而在签名能力的位置。服务商保管钥匙时，你的访问权限是一项政策 — 可以被吊销、被拖延，并押在服务商的命运、合规队列与偿付能力上；钥匙在你手里时，你的访问权限是物理定律：一组在你最好的日子和最坏的日子里都同样管用的助记词，而它的丢失是任何客服部门都无法撤销的。两个极端都不是抽象意义上的“安全” — 它们只是把风险分配在不同处：交易对手风险，或自伤风险。

诚实的自我评估是：哪类失败你更有能力承受。能把一组词离线、冗余地保存多年的人，天然适合自托管；把自己邮箱账号锁死过两次的人，则可能是在把一笔财富交给概率。许多服务采用的中间路线 — 只保管收款地址、从不保管签名钥匙 — 在我们的托管长文指南里有完整描述，也是你在任何兑换场合都值得识别的结构。

热钱包

一句话：热钱包是联网的钱包 — 用暴露换取便捷。

长文。热钱包活在工作发生的地方：高频签名、随处可达，因此它的安全性就是一扇每天开关上百次的门的安全性。一切实务操作 — 收款、归集、出金 — 都流经热存储，这使它既不可或缺，又是天然的靶心。交易所事故史，一阶近似下就是热钱包史：绝大多数巨额损失不是密码学被攻破，而是运维卫生失守 — 钥匙可达、授权过宽、人被收买或被欺骗。

用户评估服务商时，有用的问题不是“你们有没有热钱包”（人人都有），而是多大比例的存量放在那里、归集纪律如何。运转良好的业务会让热余额相对流水保持很小，其余定期扫到更冷的地方。限制下一次倒霉日爆炸半径的是这种架构 — 而不是商标或承诺；说不出这套结构的服务商，已经用沉默告诉了你重要的事。

冷钱包

一句话：冷钱包让签名密钥远离一切网络，动用资金需要在离线介质上进行刻意的人工操作。

长文。冷存储把速度兑换成安全。从未接触联网设备的密钥，无法被任何通过网络传播的东西够到 — 这几乎是对远程攻击的完全防御，代价是以分钟到小时计的操作延迟。经典实现是硬件设备和纸制或钢制备份，设计纪律朴素到物理层面：密钥离线生成、备份异地分散、流程默认任何一份都可能丢失、被错的人捡到或损毁。

冷存储的讽刺在于它最强的属性同时是最不方便的：保护你免受攻击者的延迟，同样保护你免受自己的恐慌。机构实践刻意拥抱这一点 — 大额动用需要多人到场、物理在场 — 因为冷存储所防御的场景，恰恰是速度站在敌人一边的场景。对个人而言，哪怕最低配的版本（一份离线备份，放在火灾、房东和记忆都弄丢不了的地方）已经让你领先大多数人。

只读钱包（Watch-only）

一句话：只读钱包能显示地址和余额，但完全不具备从这些地址花钱的能力。

长文。只读是橱窗的结构：一切可见，一切不可拿。软件只持有公钥 — 足以派生地址、追踪入账、对账 — 而不持有任何私钥，因此被攻破的只读环境泄露的是信息，不是钱。服务端的收款侧通常就是这样搭的：服务器能给顾客展示充值地址、在链上监听到账、触发下一步流程，而动用任何东西的权力住在别处、离线的地方。

同一结构也适用于个人。在常用设备上放一个只读视图、把支付钥匙放在别处，你就得到了方便的监控，而不是方便的盗窃现场。这个词也帮你明确该向对手方提出什么问题：一个能向你展示余额与地址、又能证明自己签不了名的服务，把架构与你的利益对齐了 — 这个属性比任何保险徽章都值钱， UsdtChange 上非托管交易的做法正是以它为组织原则。

助记词（Seed phrase）

一句话：助记词是可以确定性地派生出整个钱包全部密钥的那一串普通单词，是一切托管问题的最终答案。

长文。助记词是友好界面溶解为纯粹数学的地方：一列寻常的词，确定性地展开为你钱包将产生的每一把密钥和每一个地址。掌握了这组词就是掌握了资金 — 不是比喻，而是机制层面：在任何兼容软件上、在任何地方、永远。这就是为什么关于自托管的每一场严肃安全讨论最终都归结为一件物的保管，也是为什么这组词的简短 — 看起来像便利 — 恰是它最危险的属性：它塞得进一张照片、一张截图、一条云笔记，并以上帝犯错误的速度在它们之间传播。

由此而来的处置规则一点也不时髦，完全是物理的：离线抄写或刻录，存放在不止一处，绝不让任何软件读到它 — 不云同步、不进密码管理器笔记、不留“临时”照片。任何要你把助记词输入网站的人 — 说是“验证”“迁移”或“质押激活” — 都在运行这个领域里最古老也最可靠的骗局，因为没有任何正当服务用得上它。把这一条规则当成无例外的铁律，一整类攻击就此失效。