由于在EOS投票过程中必须使用代币私匙，而而一旦私钥丢失，这些财富将永远消失。事实上，EOS 主网上线期间，也确实发生了 EOS 私钥被黑客偷走的事件，被盗 EOS 数量超过百万。
掌握着私钥的我们，到底该信任谁？
由于在EOS投票过程中必须使用代币私匙，而而一旦私钥丢失，这些财富将永远消失。事实上，EOS 主网上线期间，也确实发生了 EOS 私钥被黑客偷走的事件，被盗 EOS 数量超过百万。
经过数周的动荡之后，EOS 主网在获得所需的 15% 的最低票数后正式开始生效。目前，已经有超过 1.7 亿张选票被用于确定将维持区块链的 21 个实体。
而此前，EOS 主网络启动两次暂停。第一次是因全球超过 1/3 的参会节点投反对票推迟，第二次因投票参与率尚未达到主网上线所需的 15%。
私钥投票
由于 EOS 的基本思路在于帮助用户实现自助治理，因此作为个人及企业的投资方必须率先采取行动，通过精心设计的全球投票机制选择他们希望在网络上完成的交易。
但上述构思仍然只是构思。事实上，EOS 区块链身陷“已启动”与“实际可用”间的中间地带，接下来需要由用户付诸努力方可帮助其发挥作用。
问题在于，要想参与投票，用户们首先需要持有自己的代币--而这一过程需要使用私钥，需要使用敏感的加密字符串以证明自己的资金归自己所在。而一旦私钥丢失，这些财富将永远消失。因此，虽然用户渴望参与其中，但他们显然非常担心自己的投票工具可能导致其资产处于风险当中。
一位 EOS 用户在接受采访时表示，“EOS 启动当中的最大‘缺失’，在于其未能意识到大部分 EOS 投资者并不愿意使用自己的私钥进行投票。”
正如 CoinDesk 网站所指出，目前惟一受到第三方安全审查保护的投票软件为 CLEOS，这是一款由 EOS 缔造者 Block.one 发布的命令行工具。然而，由于该工具对用户的技术能力提出了较高的要求，因而迫使相当一部分 EOS 代币持有者不得不选择其它不太可信的软件。
事实上，在社区论坛当中，除了对 EOS 相关第三方软件的不信任问题，用户们对参与此次投票也抱着严重的困惑情绪。
虽然已经开发出多款软件以解决这一问题，但仍有不少用户对第三方安全审计的缺失表示担心。此外，即使是开发者投入充分的热情与诚信态度，欺诈与攻击风险仍然客观存在。
投票工具 Tokenika 首席开发者 Krzysztof Szumny 在采访当中表示，“无论何时，只要技术方案对用户而言太过复杂，那么坏人就会出现，并尝试利用这些弱点。”也就是说，有证据表明这种担忧可能拖慢投票的实施速度，这反过来又将导致 EOS 实验步伐达不到预期。截至本文发稿时，相较于启动区块链的 1.5 亿份必要投票，目前的投票完成比例仅为 37.35%。
正如一位 EOS 用户在评论中写道：
“可以肯定的是，很多人都跟我一样，不会在新钱包拥有 100% 安全保障之前将私钥放置于其中。”
安全状况
要了解事情的全貌，我们首先需要弄清为何需要使用私钥在 EOS 上投票。
使用任何 EOS 投票软件都需要用到私钥，其原因有二--第一，验证投票是否合法 ; 第二，将该投票与用户持有的资产相关联，从而确定其投票结果的权重。
区块链项目 Bancor 首席技术官兼联合创始人 Yudi Levi 表示：“无论是立足您的钱包、命令行工具还是其它方案进行投票，您都需要使用私钥。”顺带一提，Bancor 区块链项目于 2017 年 6 月进行了大规模首次代币发售，并一直在努力争取区块生产候选方案的地位。
Bancor 项目还为 LiquidEOS 这一新型区块链开发出投票工具。
从本质上讲，利用私钥进行投票的过程相当于交易处理签名--要求用户发送等同于标准加密交易的同类签名。
然而，这一方案有可能引发私钥暴露问题。
在接受采访时，区块链生产候选方案兼投票软件供应商 EOS Canada 公司联合创始人 Alexandre Bourget 指出，目前的各类投票工具拥有着参差不齐的安全状况--从可信到高度危险皆有存在。
一方面，像 CLEOS 这样的命令行工具在私钥暴露方面风险水平最低。但随着该软件添加更多代码以提供用户友好型界面，其保护难度也变得越来越高。在另一方面，代码与互联网越接近，私钥被拦截的可能性也就越高。
Bourget 在采访中表示，“你的网站会要求你导入自己的私钥，并利用其完成后续操作”。他同时补充称：“没错，这些网站也许完全合法，但这只是‘也许’。因为我们已经无数次看到很多善意的网站在毫无察觉的情况下遭到黑客入侵。”
同样需要注意的是，EOS 代币持有者本身也对此抱有警惕情绪。Bourget 强调称，大多数 EOS 用户来自代币公开发售，因此其很可能并没有对 EOS 账户中的访问控制权进行重新配置。换言之，尽管他们可以创建多份私钥来管理账户，但目前大多数用户的代币可能仍与单一私钥相对应。
对于黑客而言，这无疑相当于为钓鱼攻击敞开了大门--字母加数字字符串正是最易于通过钓鱼攻击获取的信息。
最佳实践
所谓最佳实践，就是指 EOS 持有者可在投票过程中用于保护自己的方式。
举例来说，Bourget 建议用户们重新配置自己的 EOS 账户设置以生成可用于投票签名，但同时又不会与实际钱包对接的私钥。
虽然目前关于这种作法的说明文件还比较有限，但 Bourget 暗示称 EOS Canada 可能很快就会发布一段视频刘鹏。不过在此之前，用户还有其它一些更为简单的措施选项。
Bancor 项目的 Levi 指出，“如果大家选择使用那些能够下载并以本地方式运行在个人计算机上的投票工具，那么这些游离于浏览器之外的软件将确保大家免受工具栏、僵尸网络以及其他不良行为者的操纵。”
此外，他还鼓励人们使用大型厂商提供的工具。他表示：“因为这些大型企业面临着更高的潜在风险。”
举例而言，尽管 Scatter、Greymass、LiquidEOS 以及 EOS Canada 的 EOSC 等开源投票工具还没有接受第三方审计，但这些企业或项目一直在努力控制私钥暴露的可能性，同时小心谨慎地记录整个执行流程。
如前所述，由于在网络上使用私钥会增加其被盗用的风险，因此 Tokenika 设计出一款离线投票工具，确保仅在发布投票记录时才接入互联网。
Tokenika 公司的 Szumny 在采访中表示，“为了最大程度提高安全性水平，我们强烈建议大家不要在接入网络的情况下，在设备上使用自己的私钥。”
当然，就算始终保持离线，用户仍有可能在自己的设备上激活本地恶意软件。
Bourget 解释称，“了解二进制文件的来源及其构建者将非常重要，因为其中存在风险，绝不能抱有侥幸心理。”
因此，Szumny 建议 EOS 持有者不要贸然参与实验，而应谨慎使用自己的私钥并逐步参与到投票过程当中，以免受到错误影响。
这位开发者作出如下总结：
“晚投票比早投票更好，最重要的是千万不要在投票过程中犯下任何错误。”
原文链接：
https://www.coindesk.com/eoss-experimental-launch-might-putting-investor-money-risk/核子可乐译
