本指南内容
决策标准
在选择工具之前，先明确你想要长期稳固的是什么：
- 涉及金额：金额越大，越需要结构和冗余。
- 运营承受度：你是否真的能年复一年遵守流程？
- 家庭复杂度：伴侣、孩子、共同责任、变化中的关系。
- 时间跨度：十年计划必须经得住漂移（设备更换、搬迁、人生事件）。
- 继承需求：继承人能否自行完成恢复，还是需要管理和流程？
目标不是“最大安全”，而是多年之后哪怕在糟糕的一天也能干净运行的安全。
硬件钱包自托管
它是什么
硬件钱包在不将私钥暴露给通用计算机的情况下签署交易。在该模型中，你控制一套密钥。
适用场景
- 你希望直接控制，并尽量减少对机构的依赖
- 你能处理备份和基本的操作安全
- 你的家庭或业务情况足够简单，可以清楚记录
可防护的风险
- 常见恶意软件风险（前提是你从不在电脑上输入助记词）
- 某些远程入侵方式（密钥保持隔离）
无法解决的问题
- 单点故障：助记词仍然是一把总钥
- 继承复杂度：继承人需要找到、理解并正确执行
- 胁迫与内部风险：如果某一人拥有单独访问权，就可能被迫行动
如果你使用硬件钱包，备份与恢复计划的质量比设备本身更重要。
多重签名与协作托管
它是什么
多重签名要求多个密钥授权交易（例如 2-of-3）。密钥可以分布在不同设备、地点和人员之间。协作托管是一种常见变体，你持有一到两个密钥，服务提供方持有另一把密钥，但没有单方控制权。
适用场景
- 你在保护有意义的长期持仓
- 你希望在丢失或被攻破时有冗余
- 你想减少任何单一人员的单独访问权
可防护的风险
- 单一密钥泄露：泄露一把密钥不应足以盗走资金
- 单一密钥丢失：丢失一台设备或一份备份不会把你锁死
- 单方行动：结构可以强制多方批准
主要权衡：复杂性
多重签名增加了运营要求：多设备与备份、必须保存的钱包配置数据，以及支出或恢复时的协调。
对许多认真持有者来说，多重签名值得采用。但只有在你能清晰运营并持续维护时，它才更安全。
第三方比特币托管
它是什么
托管提供方代表你持有密钥，并提供账户界面、报告和行政流程。你用直接的密钥控制权换取运营支持。
适用场景
- 你需要专业流程、文档和连续性规划
- 你在做继承规划，更偏好明确的受益人和转移流程
- 你不想承担自行管理密钥的运营负担
不可妥协：可退出性
如果使用托管方，你能够将资金链上提至自己控制的地址，比任何营销承诺都重要。
评估要点：
- 储备情况，以及客户比特币是否被用于其他用途
- 提现政策、时间安排与限额
- 安全控制与运营纪律
- 透明度与证据（审计、证明、报告）
→ 阅读：比特币提现指南 → 阅读：如何选择比特币托管服务商
常见混合配置
许多认真持有者采用混合方式，因为不同需求对应不同的失效模式。
常见模式：
- 自托管 + 托管方：部分比特币直接持有以保持主权，部分托管以便管理和连续性。
- 多重签名 + 简化支出钱包：长期持仓使用多重签名，小额运营资金使用更简单的配置。
- 继承拆分：为需要流程的继承人设置托管账户，为能管理密钥的继承人保留自托管。
重点不是最大化复杂性，而是避免单一配置成为唯一选择。
简单决策总结
| 模型 | 适用场景 | 主要风险 | 复杂度 |
|---|---|---|---|
| 硬件钱包 | 小额、简单场景 | 单点故障 | 低 |
| 多重签名 | 有意义的持仓、需要冗余 | 配置复杂性 | 中 |
| 托管 | 专业管理、继承规划 | 对手方风险 | 低 |
- 硬件钱包自托管通常适用于持仓相对资产规模不大的情况，且你能维护备份并保留简单书面指引。
- 多重签名 / 协作托管通常适用于持仓较大、需要冗余或需要降低单人单独控制时。
- 第三方托管通常适用于需要专业管理、清晰的链上提现，以及继承人可执行的明确继承流程时。
如果你选择了无法维护的模型，它将无法保护你。
参考资料
- Bitcoin Developer Guide: Wallets. 钱包职责的实用概览。
- BIP39: Mnemonic code for generating deterministic keys. 助记词标准。
- BIP32: Hierarchical Deterministic Wallets. HD 派生。
- BIP11: M-of-N Standard Transactions. 多重签名的标准基础。
- BIP174: Partially Signed Bitcoin Transaction Format. 多重签名协调格式。
