PANews 发布署名闪电HSL的文章，讨论 AI 时代个人该如何保管自己的代币。文章开头提到，近期有关 Ledger 硬件钱包的风险再次引发关注：有经销商卖出的硬件钱包被人为植入芯片，可能导致资产被盗。作者援引有人在 X 上发布的帖子称，问题设备在 Ledger 屏幕下方藏有一块电路板，会在用户抄写助记词时将其窃取并发送出去。文中还提到，目前据说被盗金额已超过 9000 万 U，涉及 300 多个钱包，但同时强调这并非官方说法。
作者称，自己很早以前写过一篇《使用专用的 iPhone+ 钱包 App 比使用硬件钱包好》，当时的判断是一台专用 iPhone 搭配一个钱包 App，安全性已经足够。但现在这个看法已经改变。文章认为，AI 让攻击者手里的工具变多，钓鱼页面可以做得更像，假客服可以说得更像，骗局能够按人批量定制，那些普通用户看不懂的 0day 漏洞也会被 AI 放大威胁，许多原本难以想象的攻击方式都被放大了。
不过，作者也认为 AI 可以反过来用于加强个人防御，并围绕这个判断给出 5 个方向。
用多签分散密钥，不再依赖单一设备
文章首先否定了几年前「一台设备就够」的观点。作者现在认为，要提高安全性，还是应该用多台设备做多签，因为单点被突破的风险依然很高，即使设备平时关机、只在使用时开机，也不能完全避免风险。
对于需要经常动用的资产，文中建议采用多签，至少做到 2-of-3。作者的意思很直接：多买一个设备、多管理几个私钥，安全性就会多几层。
在 EVM 生态中，文章点名提到 safe.global 这一方案。作者举例称，一台 iPhone 安装钱包 App 保存第一把私钥，一台 Mac 安装 Chrome 和插件钱包保存第二把私钥，第三把私钥则可以在 iPhone 上生成、备份后删除。按这一做法，除非 iPhone 和 Mac 同时出问题，风险会低不少。
对比之下，作者对比特币给出的建议不同。文章称，BTC 这种长期不需要频繁操作、也不需要访问网站或参与 DeFi 的资产，主要用途只是去交易所充值和提现，在这种场景下未必一定要用多设备多签。
作者写道，自己的看法是，这类资产使用 Bitcoin Core 节点钱包，加上一台专门的 MacBook 安装 Bitcoin Core，再配一块 2 TB 硬盘下载区块数据，已经能把风险降到很低，因为比特币的使用场景相对简单，攻击点也更少。
文章也提到，虽然 BTC 也有多签钱包，但作者对其品牌认知并不充分，而比特币脚本原生多签又存在较高技术门槛，操作不当甚至可能把自己的币当成矿工费。文中反复强调一点：管理资产要专机专用，不要用日常使用的手机和电脑管币，尤其不要安装 AI。
让 AI 直接参与设计托管方案
第二部分，作者把重点放在让 AI 帮助制定托管方案。文章称，投资本身是个性化的，保管代币的方案其实也是个性化问题。过去需要花很多精力写的自托管方案，在 AI 出现后已经可以通过对话快速生成。
作者建议，用户可以直接把自己的情况告诉 AI，包括资产如何分层，哪些是常用资产，哪些几年都不会动，用哪些链，多久操作一次，自己能接受多复杂的操作，以及如果本人出事，家人要如何接手。
在此基础上，让 AI 给出托管方案。之后还可以切换角色，让 AI 扮演「想偷这笔钱的人」，找出哪一环最容易被攻破，再据此修改方案，反复来回做几轮。
不过，文章同时给出一条明确提醒：管理代币的电脑和手机不要安装 AI。作者的理由是，人们对 AI 的信任程度太高，甚至可能把电脑完全授权给 AI，因此在持币设备上安装 AI 是需要特别警惕的事。
对于「让 AI 知道自己持有代币是否安全」这个问题，作者给出的看法是，这至少比在购买硬件钱包时让经销商知道更安全。文章称，经销商会知道买家的姓名、电话和住址，还经手了私钥生成的那台设备；相比之下，向 AI 描述需求的风险在作者看来更可控。
文中也指出，最安全的状态当然是没人知道自己持币，但现实里这很难做到：交易所知道，卖设备的店知道，链上地址也对所有人公开。真正能选择的只是，谁知道、以及知道多少。作者因此写道，信 AI，总比信特定的个人强。
用 AI 核查域名和 App 来源
第三部分谈的是网址和应用来源核验。文章称，只要参与加密市场，尤其是做 DeFi，访问各种网站几乎不可避免。
作者回顾自己过去的做法时提到，任何网站都要从 3 个不同的信息源验证域名是否正确。常见的信息源包括 ethereum.org、bitcoin.org 这类官网，是否被 CMC 收录，是否在 Google 查过，是否在 x.com 查过，以及是否问过真正信得过的朋友。
现在作者把 AI 加入了这套流程。文章认为，域名核验这件事很适合让 AI 参与。免费工具如 Gemini、ChatGPT、Grok、豆包，都可以分别问一次，用作重要的核查方式之一；如果条件允许，最好用收费版本，并把推理强度拉到最高。
同样的方法也适用于钱包 App。文中建议，在下载钱包 App 之前，可以把 App Store 页面截图发给 AI，让 AI 帮忙检查。Chrome 插件钱包也一样，安装前最好先让 AI 过一遍。作者给出的提问方式非常直接，就是问 AI：这是不是正规的。
作者还表示，自己现在每次点击新域名、下载新的 App，都会先问一次 AI，这个东西是不是正规的。
签名前把界面拍照给 AI 解读
在整篇文章里，作者最想强调的是第四点：在签名前，让 AI 帮忙读懂签名界面。
文章称，对于大多数普通交易，比如转币、授权和与主流合约交互，MetaMask 现在已经会在签名界面展示交易的大致含义。用户在签名前如果认真阅读，通常可以知道这次签名会让钱包发生什么变化。像 to、value、data、nonce 这些字段，如今的钱包解释已经比几年前清楚得多。
作者回忆，几年前情况并不是这样。当时很多钱包在签名页面只能看到大串 00、fff、1234 之类的字符，几乎无法直接理解。那时他会把交易签名内容粘贴到 4byte.directory 之类的网站，查看交易到底会触发什么动作。
而现在，如果用户仍然不清楚什么是交易签名、也看不懂这些内容，AI 可以帮助学习。作者建议，在签名前把钱包弹窗界面拍照或截图给 AI 读取。文章认为，这个界面里没有私钥和助记词，而且页面里的内容在点击确认后本来就会全网公开，因此可以让 AI 来解释签名后会发生什么，从而帮助判断自己是否遭遇钓鱼。
不过，文中也强调了使用边界。作者建议，最好先拿一个测试钱包，让 AI 完整解读每一步操作界面，用这个过程学会理解钱包交互。不要一开始就在真实生产环境中把每一张截图都发给 AI。到了真实生产环境里，钱包所在的手机和电脑仍然不应安装 AI；如果确实需要 AI 解读交易签名内容，也建议通过拍照的方式处理。
文章还提到，在使用 Safe 钱包时，Safe 自身会对交易做很多解释，但到了 MetaMask 签名阶段，交易信息反而可能变得不那么清晰。作者称，如果担心，就可以把那一堆 00、fff 之类的内容发给 AI 解读，因为一旦解释清楚，就能知道签名后到底会发生什么。
更关键的是，作者提醒，使用 Safe 时，Safe 页面里的说明并不是最终依据，MetaMask 弹窗里对交易字段的解释才是最终依据。文章称，Bybit 那一笔被盗就是 Safe 的解释页面被篡改，因此一定要以 MetaMask 弹窗中的交易字段解释为准。
让 AI 盯住安全公告和漏洞预警
第五部分聚焦安全预警监控。文章称，有了 AI 之后，用户还可以把自己关心的硬件、软件、合约和平台交给 AI 去盯，关注它们是否出现漏洞报告或安全公告。
作者举例称，现在 Grok bot 可以监控 x.com，用户可以把自己关心的一组 X 账号交给它，例如 MetaMask、慢雾、Lido 等，让 Grok bot 持续查看这些账号有没有发布与安全相关的帖子，如果有就通过邮件提醒。
但作者也补充，真正收到警告后，还是要自己去官方渠道核实，不要直接点击邮件和帖子里的链接，以免再次落入钓鱼。文中称，也可以再派一个 AI 去做核实。
作者最后给出的使用建议是，在进行重大财务转账之前，先看一下这个接收安全提醒的邮箱。
作者结尾观点
文章最后写道，作者认为 AI 最终会向善，并让网络环境变得更安全。