TP钱包官方到底有没有开源 日常使用安全吗

导读： 在使用TP钱包这件事上, 时间已经将近两年了, 关于它是不是真的开源了, 还有日常用起来到底安不安全这几个关键问题, 网上流传的说法各种各样, 根本没有一个统一的答案。...

在使用TP钱包这件事上, 时间已经将近两年了, 关于它是不是真的开源了, 还有日常用起来到底安不安全这几个关键问题, 网上流传的说法各种各样, 根本没有一个统一的答案。

我去翻看代码, 我自己去踩过这个关停账户留下的坑, 说一点实际的体会。

TP官方真的开源了吗

TokenPocket在GitHub上面是有官方仓库的, 核心模块的源码确实是可以看得到的, 不过, 完整代码并不是全部都公开出来了的, 还有那个后端服务以及部分加密逻辑是闭源的。

严格来说,现在的这个情况是被描述为处于一种所谓的“半开源”的状态的, 大家千万不要只是单纯地看到了“开源”这两个字, 然后就觉得可以完全放下心来不用去担心其他的事情了。

我把公开的部分做了对比, 能用来审计的, 主要是前端交互还有那个链上的签名逻辑, 但是呢, 关于密钥管理跟助记词生成里面最核心的那部分代码, 并没有被完整地披露出来。

如果你要是真想做代码审计, 就得清楚这个边界在什么地方, 不要以为你看到的那个情况就代表了全部的内容。

TP开源后还安全吗

它究竟是安,还是不安,这全得看大伙儿是怎么拿它来用的。

从官方指定的渠道进行下载操作, 把助记词放在完全脱离网络的离线环境里妥善保管, 不要随随便便就给那些陌生的合约执行授权动作, 这一套完整的流程走完以后, 基本上是不会存在什么大问题的。

可是如果为了追求便利, 非要去那些山寨的站点去安装一个叫做“TP”的壳包, 又或者是因为手滑, 在一个不明的链接里面输入了私钥, 那么这种行为跟源代码是不是开源这一件事情, 是一点儿关系都没有的。

我的那位朋友, 是曾经经历过这种类似的失误情况的。他是把那个“TP”的用于搜索的词组, 直接点击到了某个那种冒充官方的下载网页上面去了, 结果安装完成之后, 还不到十分钟的时间呢, 他用来记住钱包密钥的那些关键词, 就被别人给盗窃走了。

你可以用开源代码去验证一下功能逻辑, 但是这事儿防不住你自己手误操作, 这一点比做代码审计要重要得多。

你不要再去纠结那种代码审计工作的进展情况了, 你应该把注意力转移到盯紧下载渠道, 还有助记词的保管, 以及合约授权这几件事情的落实上, 只要把这些事情给抓稳了, 那么你在实际层面的安全感受肯定会得到极其明显的提升和升级。