MEV 交易者的钱包卫生：2026 年自我托管手册

简短回答 - MEV 交易者至少需要三个钱包层：热策略钱包（小浮动，每次交易签名，驻留在您的 VPS 上），温暖的国库钱包（大宗资金，硬件安全，仅签名扫描和充值），以及冷储备（长期持有，从不签署任何操作）。任何通过单个热钱包运行所有内容的人都只需牺牲一个 VPS 即可避免完全损失。设置需要 30 分钟；另一种方法是以五位数的增量支付 30 分钟的费用。

如果您尚未阅读加密交易机器人安全最佳实践，请先阅读。本文是针对钱包的深入探讨。

为什么单钱包操作失败

典型的妥协场景：

1. 操作员在 VPS 上运行 FRB Agent。
2. 机器人对来自持有所有资金的同一个钱包的每笔交易进行签名。
3. VPS 受到损害 - 通过被盗的 SSH 密钥、中毒的依赖项或恶意软件包更新。
4. 攻击者从机器人的配置中读取钱包的私钥。
5. 全部资金在一个区块中耗尽。

第 4 步是钱包卫生预防的故障点。热钱包不应该有重大资本暴露。

三层架构

┌─────────────────────┐
│   Cold Reserve      │  Hardware-only, never online
│   (>50% of stack)   │  Multisig, ideally
└─────────┬───────────┘
          │ Manual transfer (rare)
          ▼
┌─────────────────────┐
│   Warm Treasury     │  Hardware-secured, signs sweeps + top-ups
│   (35–45% of stack) │  Online but inactive between operations
└─────────┬───────────┘
          │ Top-up: weekly
          │ Sweep: weekly
          ▼
┌─────────────────────┐
│   Hot Strategy      │  On VPS, signs every fill
│   (5–15% of stack)  │  Limited to ~1 week of working capital
└─────────────────────┘
Copy

比例是可调的。 分离不是。

热门策略钱包规则

您的机器人从中签名的钱包。配置爆炸半径最小化：

1. 从来没有提供超过 1 周营运资金的资金。妥协只会损失一周，而不是一笔资金。
2. 对不熟悉的合约不进行代币审批。 每周使用审批撤销工具。
3. 如果可行的话，按策略隔离。 清算和套利钱包分开意味着其中一个的错误不会耗尽另一个。
4. 专门为 VPS 生成的唯一密钥对。 切勿重复使用其他计算机上的密钥。
5. 备份：是的，但加密且离线。 拍摄的助记词不是备份。

温暖国库钱包规则

中间层——大量资金，但在线并准备充值热钱包。

1. 硬件钱包（Ledger、Trezor、GridPlus）。助记符从来没有输入到软件中。
2. 与冷储备不同的种子短语。温暖的妥协不应暴露寒冷。
3. 签名需要物理确认。 没有“签署任何内容”会话。
4. 仅在操作期间连接。 在充值之间断开连接。
5. 白名单目的地。 充值仅转到您自己的热钱包地址。

冷储备规则

长期资本。把它当成是不能花的一样对待。

1. 可行时进行多重签名。 3 中 2 或 5 中 3 以及签名者的地理分布。
2. 无在线曝光。 任何动作均需进行隔离签名。
3. 记录恢复路径。 种子在哪里？谁知道？如果您丧失行为能力怎么办？
4. 定期恢复训练。 至少每年一次，证明您可以在不暴露种子的情况下度过寒冷。
5. 没有 DeFi 风险。 冷储备是原生资产（ETH、BTC、SOL、稳定币），而不是 LP 头寸。

密钥存储：实际有效的方法

避免：

• VPS 上 JSON 文件中的明文密钥
• .env 文件提交到任何存储库
• 浏览器扩展程序与机器人位于同一台计算机上
• 云同步密码管理器作为“唯一”副本

使用：

• 用于热键的操作系统级密钥库（macOS Keychain、Windows DPAPI）
• 温暖的硬件钱包
• 冷气隙签名
• 存储在单独物理位置的硬件加密 USB 上的加密备份

FRB Agent 默认情况下通过操作系统密钥库存储热钱包密钥 - 有关实现，请参阅安全。

批准卫生

80% 的“我被黑了”事件都是通过代币审批发生的。图案：

1. 您批准一份无限制支出的路由器合同。 2、路由器存在漏洞或通过代理升级更换。
2. 攻击者利用常设批准耗尽您的钱包。

缓解措施：

• 使用有界批准 (amount = 2 × expected_trade_size)，而不是 MAX_UINT。
• 每周通过 Revoke.cash 或类似方式撤销批准。
• 切勿批准未经验证的合同。
• 每月审核每个钱包的批准清单。

钱包轮换

每季度轮换一次热钱包密钥：

1. 生成新的密钥对。 2.更新 FRB 代理配置。 3.将旧钱包扫到温暖金库。
2. 刻录旧密钥（从所有备份中删除）。
3. 恢复新钱包操作。

被泄露的轮换钱包会暴露零资本。 12 个月前的热钱包会暴露 12 个月的累积批准和任何被遗忘的资金。

VPS 安全（非钱包一半）

仅当 VPS 本身没有受到轻微损害时，钱包卫生才有效：

• 仅限 SSH 密钥身份验证。 无密码登录。
• 仅对所需的出站端口设置防火墙。 阻止横向移动。
• 自动安全更新。
• 同一 VPS 上没有其他工作负载。 特别是基于浏览器的工作负载。
• 监控：对任何非 FRB 代理生成的进程发出警报。
• 部署前的快照。 出现异常时立即回滚。

有关完整设置，请参阅加密机器人的 VPS 设置。

针对财政部的多重签名（建议 5 万美元以上）

超过 5 万美元，对温暖的金库进行多重签名：

• Safe（以前称为 Gnosis Safe）是标准
• 3 中的 2：您自己、硬件钱包和受信任第三方持有的恢复密钥
• 或者如果您想要最大的弹性，则按地理分布选择 5 中的 3

成本：每笔多重签名交易约 5–20 美元。值得。

出现问题时会发生什么

如果您怀疑存在妥协：

1. 立即暂停机器人。 不要试图通过怀疑进行“交易”。
2. 将热资本和冷资本转移到新钱包。 使用纯硬件签名。
3. 调查 VPS。 检查是否有意外进程、修改的二进制文件、新的 SSH 密钥。
4. 轮换 VPS 可以访问的每个密钥。
5. 取证：将日志拉到单独的机器上进行审查。

速度很重要。检测后的前 30 分钟决定温资本是否存活。

恢复训练

您应该能够：

• 10 分钟内恢复热钱包（低风险，简单）
• 用硬件 1 小时恢复热钱包（中等）
• 4-24 小时内恢复冷储备（设计上具有高摩擦力）

如果您从未测试过，您实际上并不知道。每季度运行一次恢复演习，每个钱包中放入 1 美元以验证路径。

常问问题

我需要硬件钱包来存放热门策略资金吗？

不可以——热钱包需要自动签名，这不适用于硬件钱包。热钱包密钥位于操作系统密钥库中。硬件有冷暖之分。

FRB Agent 可以用硬件钱包签名吗？

不适用于主动策略执行（延迟使其不切实际）。仅适用于定期充值，可以使用硬件连接的钱包从仪表板启动。

每个人都需要多重签名吗？

对于大多数用户来说，资金低于 5 万美元时，多重签名的操作复杂性超过了安全优势。超过 5 万美元，数学就会发生逆转。

MPC 钱包（Fireblocks、Copper 等）怎么样？

非常适合机构。对于七位数以下的个体运营商来说，通常会过度设计（并且定价过高）。

我应该多久轮换一次密钥？

热门：季度最低。温暖：每年。冷：仅在可疑的妥协或签名者更改后。

相关阅读

• 2026 年 MEV 交易者最佳钱包
• EIP-7702 MEV 2026：帐户抽象重塑搜索者策略
• 加密交易机器人安全最佳实践
• MEV 机器人十大错误
• 安全革命：桌面 vs Telegram
• 加密机器人的 VPS 设置
• FRB 信任与验证

本文为操作指导，并非安全审核。具体风险取决于您的堆栈、管辖范围和威胁模型。请咨询安全专家以进行高价值设置。