自托管让你掌握加密资产的支配权，因为私钥由你控制。与此同时，备份、恢复、设备安全和交易核对也都由你负责。最好的方案不一定最复杂，而是你在压力之下仍能正确操作并完成恢复的方案。

按用途选择托管方式

与其规定固定的资产比例，不如按用途划分资金：

层级用途常见方式
冷存储不常动用的长期资产硬件钱包或经过周密设计的多重签名方案
操作资金转账和偶尔发生的交易余额有限的专用软件钱包或硬件钱包
消费资金近期的卡片消费余额有限的已充值卡片

每一层的金额应取决于你的实际情况，而不是任意套用 70/20/10 之类的公式。使用频率较低的资金可以接受更多操作步骤；消费资金应方便使用，但金额要有限。

选择自己理解的工具

硬件钱包可以将签名私钥与联网计算机隔离，但无法防范所有风险。用户仍可能批准恶意交易、丢失恢复资料，或买到被篡改的设备。应从可信来源购买，由自己完成初始化，在设备上核对交易详情，并且只通过官方软件安装更新。

多重签名可以减少对单个私钥的依赖，但也会增加协调和恢复的复杂性。应记录签名策略、私钥位置和钱包配置信息，并在存入大量资产前测试完整的恢复流程。

针对真实故障设计备份

  • 离线记录恢复资料，防止被盗、火灾、水损和意外丢弃。
  • 将副本或份额存放在不会同时受到同一事件影响的地点。
  • 不要拍摄助记词，也不要将其存入云端。
  • 按照钱包记录的流程测试恢复，最好在钱包尚未存放大额资产前完成。
  • 确保可信的继承人能够执行合适的方案，但不要让任何人在当前获得不必要的访问权限。

SLIP-39 定义了一种可互操作的 Shamir 助记词备份秘密共享方式。它不等同于手工把助记词剪成几段，也并非兼容所有钱包。只有在钱包支持该标准，并且你理解分组和阈值设计时才应使用。份额越多，也意味着丢失或操作失误的机会越多。

建立安全的交易流程

在签名设备上核对地址，确认网络和资产，并在首次向某个地址转账时先做小额测试。定期检查代币授权，把意外出现的签名请求视为恶意请求。绝不要在网站中输入恢复词，也不要向客服提供这些信息；正规客服不需要它们。

隐私措施应当合法且经得起检验。如果协议和钱包支持生成新的收款地址，应避免重复使用地址；同时保护账户元数据，并保留税务或会计所需的记录。隐私并不免除记录资金合法来源的必要性。

消费会形成托管边界

Agora Cards 可以作为消费层的一部分，但卡片余额并非自托管。USDT 或 USDC 只有留在你自己的钱包中时才由你控制。充值后，资金会由持牌且受监管的托管合作伙伴保管，以便处理卡片支付。

因此，控制余额规模很重要。存入计划消费的金额，预留 2% 的充值费，并让核心资产继续由自己的私钥控制。卡片限额为单笔 20,000 美元、每日 240,000 美元、每月 900,000 美元，但这些上限并非余额建议。实体卡 ATM 取款限额为每日 1,500 美元、每月 15,000 美元；虚拟卡不支持 ATM 取款。

如需进一步了解这种安排，请参阅《详解加密资产的自托管、托管与混合模式》。目标不是消除每一种依赖，而是准确了解每一种依赖从哪里开始，并让相应的风险敞口与其提供的服务相匹配。