軟體錢包可理解為下載的錢包APP，並可直接用於轉帳加密資產的軟體。一個加密錢包軟體的使用，包含了以下三點安全要素：
1. 網路安全：從軟體啟動到進行交易的一套完整的過程，其中涉及業務的過程中需要連接網路，安全數據等都存在一定的風險。
2. 軟體功能的核心數據安全：傳統軟體的功能如核心代碼未加密，軟體自身無校驗，中間人數據劫持等。
3. 業務場景安全：針對錢包軟體的獨有業務場景，如助記詞的不安全保存，交易密碼設置弱口令，貨幣價格走勢數據被替換等，也將會為用戶在使用錢包的安全上，帶來很大的危害。
（數據來源：360安全）
由於軟體錢包自身安全性能的不完善，以及頻頻出現駭客攻擊事件，硬體錢包逐步成為了很多加密資產投資者青睞的資產保存產品。
硬體錢包的安全性要素
硬體錢包是一種實體設備，私鑰儲存在設備內的受保護區域中。到目前為止，硬體錢包還沒有發生過重大錢包漏洞或者大規模資產丟失事件。相對而言，硬體錢包安全系數比軟體錢包要高。對此，密深科技首席科學家郭偉基認為，一款真正意義上安全的錢包，主要包涵了三方面的安全性要素：網路隔離、系統完整性保護、錢包種子保密。
1. 網路隔離：即是為私鑰創建了一個隔離環境。現有的手機和電腦與外界透過網路連接，私鑰很容易遭到駭客從網路發動的遠端攻擊，這時候就需要硬體錢包專門保管私鑰或者錢包種子。
2. 系統完整性保護：指的是硬體錢包系統能夠保護自身關鍵組件不受非法篡改。任何系統都存在被攻擊的可能性，在攻擊發生的時候，具備系統完整性保護能力的硬體錢包，能夠發現攻擊並作出相應的安全響應。
目前針對系統完整性保護缺失的攻擊，主要有供應鏈攻擊和邪惡女傭攻擊（Evil Maid Attack）。
所謂供應鏈攻擊，指的是硬體錢包在生產或者運輸過程中，被他人修改過，植入惡意軟體或者篡改系統邏輯。舉個例子，如果一款基於安卓系統的錢包，使用了安卓提供的隨機數生成器，而該隨機數生成器被更換為駭客可以預測的偽隨機數生成器，那麼該錢包產生的全部種子、私鑰都是駭客可以預測的。而駭客要完成收割，甚至都不需要受害人的錢包聯網。如果缺乏系統完整性保護，不能發現此類攻擊，用戶的資金就有被完全收割的風險。
邪惡女傭攻擊，英文叫做Evil Maid Attack，主要指的是錢包設備可能短暫被他人控制。如果設備缺乏系統完整性保護，那麼這段時間就有可能被利用來植入惡意軟體，例如底層邏輯被替換掉，實際轉帳位址轉變為駭客指定的位址，或者在收到某些指令後，顯示錢包種子的助記詞，等等。
3. 錢包種子保密：網路隔離和系統完整性保護提供的安全很重要，但仍然是不夠的。如果攻擊者拿到了物理設備，還要保證攻擊者無法從設備裡提取錢包種子資訊，而一般的軟體錢包或者類軟體錢包很難保障這一點。
這三個安全性能都是相對普遍適用的，不管什麼樣的錢包系統，都可以用這三大標準去衡量其安全性。軟體錢包由於其先天限制，很難滿足這些要求。相比之下，硬體錢包則具備比較好的安全基礎。
本文為巴比特資訊授權刊登，原文標題為「定義加密錢包安全性的『三有一無』要素」