某天深夜，一家兑换平台的热钱包被盗——钓鱼邮件也好，API密钥泄露也好，原因其实并不重要。真正要命的问题只有一个：热钱包里到底放了多少钱？如果答案是“几乎全部运营资金”，那这门生意基本可以宣告结束；如果答案是“一天的额度”，顶多是个糟心的意外，不至于伤筋动骨。热钱包和冷钱包之间怎么分配，从来不是技术细节，而是兑换平台最核心的防线。
为什么要把钱包分开
热钱包连着网络，自动给客户处理提现——就像柜台上的收银抽屉，店员找零不用跑去后面的保险柜。冷钱包完全不联网：私钥存在设备里，或者放在需要手动凑齐签名的多签方案中，相当于后仓的保险柜，要用的时候得专门走一趟。
两种钱包兑换平台都少不了。没有热钱包，本该几分钟到账的提现会拖成几个小时，订单越积越多；没有冷钱包，全部资金摆在一个理论上只要攻破服务器就能碰到的地方。
热钱包里该留多少
没有放之四海皆准的比例，但有个实用的参考标准：热钱包余额只需覆盖高峰24到48小时的提现量，而不是整月的交易流水。日流水5万美元、偶尔有提现高峰的平台，热钱包留5000到1万美元通常就够，剩下的全部转入冷钱包。
要盯紧三个数字：平均单笔提现金额、高峰时段每小时最多多少笔提现，以及遇到提现激增时从冷钱包补充热钱包要花多久。如果有专人在岗、15分钟就能补上，热钱包可以少留一些；如果签名流程要拖上大半天，就得多留一些热钱包余额——这也是一种风险，必须主动权衡，而不是稀里糊涂地接受。
冷钱包在实际操作中是怎么运作的
冷钱包很少是单独一个保险柜，更常见的是多签钱包——转账需要3把或5把钥匙里凑齐2把或3把签名，而这些钥匙分别由不同的人保管。这样一来，哪怕某个员工能完全访问服务器，他一个人也没法把储备金转走。
硬件钱包再加一道保险：私钥永远不离开设备，哪怕连接的电脑已经中毒也不受影响。对月交易流水几十万美元以上的兑换平台来说，用硬件钱包做多签已经不是锦上添花，而是最基本的安全底线。
什么时候该重新调整比例
- 一个季度内流水翻了两三倍，热钱包额度却还是老样子；
- 客户开始抱怨高峰时段提现变慢；
- 没有任何记录能说明谁在什么时候在钱包之间转过款；
- 冷钱包的签名流程还是一个人说了算，没有两三个人共同参与；
- 过去一年里从没测试过冷钱包的恢复流程。
只要中了两条以上，就该重新设计存储方案了——不要等出事才动手。
常见误区
最常见的错误是热钱包“留宽松点”图省事，不想老惦记着补钱。结果两天的余量不知不觉变成两周的余量，谁都没发现，直到出事才追悔莫及。
第二个误区是冷钱包只让一个人掌握私钥。严格来说这已经不算真正的“冷钱包”，只是一个恰好没联网的钱包——万一这个人出了意外，或者去了联系不上的地方休假，储备金的访问权限也就跟着消失了。
结语
热钱包和冷钱包的分配方案，只有跟着流水增长不断调整才真正有效，而不是设一次就再也不管。想拥有自己的存储基础设施、不想被中间商抽成的兑换平台，可以了解一下iEXWallet——专为兑换平台打造的现成加密钱包。
