冷錢包熱錢包差別？從 Bitget 3.5 億美元被駭事件看交易所存幣風險

加密貨幣放在交易所，安全與否要看交易所把資產放在哪一層錢包，以及出事時客戶資產有沒有跟公司自有財產分開保管。2026 年 9 月的 Bitget 事件是個很好的參考案例：熱錢包被盜轉超過 3.5 億美元，但因為多數資產放在冷錢包，用戶餘額完全沒受影響。以下從這起事件出發，說明冷錢包、熱錢包、託管型錢包的差別，以及交易所出事時用戶依法能有什麼保障。

Bitget 事件發生了什麼事

根據 Bitget 官方通報，2026 年 9 月 24 日偵測到部分熱錢包與暖錢包出現未經授權的異常出金，受影響總額約 3.516 億美元，涉及 ETH、USDT、USDC、AVAX、BNB 等多條區塊鏈上的資產。

關鍵在於 Bitget 採用「冷、暖、熱」三層錢包架構，絕大部分資金存放於冷錢包，這次攻擊者能碰到的只有熱錢包與暖錢包，冷錢包完全未受波及，用戶帳戶餘額維持準確。Bitget 隨後啟動規模超過 4.64 億美元的用戶保護基金，全額承擔這 3.516 億美元的資產損失，同時全面暫停用戶提款服務進行安全審查。

這起事件同時說明了兩件事：一是交易所的分層錢包架構確實能把損失限制在特定範圍；二是即使損失被基金覆蓋，提款照樣會被暫停一段時間，資金的即時流動性還是受到影響。

交易所的三層錢包架構是什麼

大型交易所通常不會把所有用戶資產都放在同一種錢包，而是依用途分層管理：

• 冷錢包：離線儲存，存放絕大部分資產，只有在需要調度資金時才會連網操作，是資金池裡最安全但也最不靈活的一層。
• 暖錢包：介於冷熱之間，用來因應日常提款需求，會定期從冷錢包補充資金。
• 熱錢包：長期連網，用來即時處理用戶的提款請求，因為要隨時在線，也是駭客攻擊最主要的目標。

Bitget 事件裡受害的正是熱錢包與暖錢包，這也是為什麼交易所會強調「絕大部分資金存放於冷錢包」——把攻擊面控制在必要的流動性範圍內，是交易所風控的基本邏輯。

冷錢包、熱錢包、託管型錢包差在哪

類型	是否連網	私鑰掌握在誰手上	優點	風險
冷錢包	離線	用戶自己	降低駭客盜取私鑰的風險	操作複雜、需連線至其他裝置才能交易，助記詞外洩或授權惡意合約仍可能遺失資產，也有實體遺失、損壞等物理風險
熱錢包	連網	用戶自己（非託管）或第三方（託管）	便利、容易取得、無需複雜設定	全程在網路上生成地址與私鑰，隨時面對駭客攻擊與網路釣魚風險
託管型錢包（交易所帳戶）	連網	第三方平台	平台直接提供交易環境，便利性最高	用戶缺乏資產最終決定權，存在第三方跑路或遭駭風險，通常需要 KYC 身分驗證

熱錢包本身又分成瀏覽器外掛錢包（如 MetaMask）與手機 App（如 imToken、Trust、Cipher）兩類，其中手機錢包介面設計最簡單，相對適合初學者。而交易所帳戶就是最常見的託管型錢包，用戶把私鑰的控制權交給平台，換取交易上的便利。

非託管型錢包則是用戶完全掌握私鑰與資產，隱私性與靈活性高，但相對地也要自行承擔私鑰保管的責任——業界常說的「Not your keys, not your coins」（不是你的私鑰，就不是你的幣），講的就是這個道理。冷錢包多屬於非託管型的一種實體形式，市面常見硬體冷錢包售價多在 100～200 美元，設定與交易過程相對複雜，比較適合長期持有者或特別重視資產安全性的使用者，購買時也要注意商家是否可信任，二手或改裝商品可能導致私鑰外洩。連以太坊創辦人 Vitalik Buterin 都曾表示，他個人傾向社交恢復與多簽錢包，而非單純依賴硬體錢包或紙本記錄，理由也是硬體本身仍有遺失或損壞的風險。

多簽錢包：介於單一私鑰與完全交給第三方之間的選項

多重簽名（multisig）錢包允許多個使用者共同執行數位簽章來控管錢包資產，例如 2/3 多簽代表三把私鑰中要有兩把同時授權才能動用資金，3/5 則是五把中要有三把。好處是即使一把私鑰被盜，資金依然安全，也能防止單一人員的錯誤操作或濫用；缺點是每次交易都需要多人同意，便捷性大幅降低，交易完成的時間也會拉長。使用多簽時要注意私鑰不應集中存放在同一地點（例如同一個房間），2/2 設定若遺失一把私鑰就會失去資金存取權，建議至少採用 2/3 以上的門檻。多簽的主要使用者是有大額資金共管需求的機構，例如公司董事會的資金控制，防止單一董事濫用資金，個人使用者的應用普及度相對較窄。要留意的是，若惡意人士取得超過半數的私鑰，同樣無法被阻止操作錢包。

交易所出事，台灣用戶依法會怎樣

Bitget 走的是「基金賠付」模式

Bitget 這次是用超過 4.64 億美元的用戶保護基金，全額承擔 3.516 億美元的損失，這屬於交易所自願設立的商業性保障，並非法律強制要求。

過去台灣用戶的實際案例：BITPoint 與 Coincheck

並非每次交易所被駭都能順利獲得賠償。日本幣寶（BITPoint Japan）在 2019 年 7 月遭駭，損失約 30.2 億日圓，事後拒絕歸還台灣用戶的虛擬貨幣資產。幣寶台灣在 2020 年 3 月將聯邦銀行用戶交割專款專戶提存至台北地方法院，但檢察官不起訴處分書揭露，該專款專戶實際餘額僅約新台幣 1,000 萬元。法院判決也揭露幣寶台灣與 BITPoint Japan 並非母子公司或關係企業，至多是代理商性質，而幣寶台灣本身也未建立用戶保障的賠償準備金，僅召開說明會請用戶授權代理訴訟。這起事件敗訴的主因，是幣寶台灣的使用者規約免責條款過於寬泛（免除駭客入侵責任不合理），加上拒絕返還資金並無正當理由。

另一個更早的案例是 2018 年 1 月日本 Coincheck 交易所遭駭，損失近 580 億日圓，是當時史上最大的加密貨幣駭客事件，事後在律師團提起訴訟後，Coincheck 才同意儘速賠償用戶。

這幾起案例的共同啟示是：交易所是否賠、賠多少，往往取決於公司自己有沒有建立賠償機制、資產是否真的與客戶資產分離保管，而不是理所當然的事。

台灣《虛擬資產服務法》對客戶資產保管有什麼要求

2026 年 6 月 30 日立法院三讀通過《虛擬資產服務法》，台灣虛擬資產產業從「登記制」進入「事前許可制」，監理框架也從單一的洗錢防制面向，走向「業務監理＋投資人保護＋金融穩定」的完整架構。虛擬資產服務商依業務內容劃分為交換商、交易平台商、移轉商、保管商、承銷商、借貸商及其他共七類，既有業者須在新法施行後 12 個月內申請許可、21 個月內取得執照。想了解許可制細節可以看虛擬資產服務法是什麼？登記制改許可制對用戶的影響。

穩定幣的規定是：在台灣發行穩定幣須同時取得央行同意與金管會許可，發行人須維持十足準備資產、儲存於境內金融機構並全數信託保管，發行人破產時準備資產不屬破產財團，持有人享有優先受清償權。想更了解穩定幣機制可以參考穩定幣是什麼？USDT、USDC 原理、脫鉤風險與台灣專法。

交易所風險自查清單

把資產放進交易所前，可以先確認幾件事：

• 是否完成台灣洗錢防制登記（或後續的許可申請）：這是業者接受主管機關監理的基本門檻。
• 客戶資產是否與公司自有財產分離保管：這是新法明文要求的重點，也是 BITPoint 台灣案例裡最大的問題所在。
• 提款異常時是否即時揭露資訊：像 Bitget 事件那樣公開通報受影響金額、暫停提款原因與後續處理方式，比事後含糊其辭更值得信任。
• 是否有明確的用戶保障機制：無論是保護基金或其他形式，有沒有具體的賠付規則，比事後才臨時召開說明會來得可靠。

出入金過程本身也有風險點要留意，例如部分台灣銀行對來自加密貨幣交易所的資金較為謹慎，可能會要求說明資金來源；虛擬貨幣無法出金常見的原因則包括 KYC 未完成、風控系統觸發、提領地址錯誤或網路壅塞，這些細節可以參考虛擬資產 Travel Rule 是什麼？轉帳逾 3 萬元要附生日、住址。此外也要提防假交易所與假客服詐騙，可以看加密貨幣詐騙手法有哪些？假交易所、先繳解凍費、假客服全解析。

自託管的代價：連代幣化股票都能放進冷錢包

自託管的趨勢不只發生在加密貨幣本身。Ledger 與 Kraken 母公司 Payward 合作，讓代幣化股票 xStocks 也能放進硬體錢包，以離線私鑰完成自託管。xStocks 由真實美股或 ETF 以 1:1 方式支撐，發行於 Solana、Ethereum、TON、Ink 等網路，不過它不提供股東投票權，也不直接以現金方式發放股息，而是透過 rebasing 機制反映股息的經濟利益。

自託管代表用戶自行控制私鑰，資產轉移必須由持有人自己授權，好處是降低對第三方的依賴，但代價是用戶必須自行承擔私鑰遺失或操作錯誤的風險——私鑰一旦弄丟，沒有客服可以幫你救回來。Ledger 目前約有 800 萬名既有零售與機構客戶，這群人傾向自己掌握資產；不過現代網路券商每天處理的股票交易規模龐大，重大安全事件仍屬少數，這也是自託管與交由第三方保管之間的取捨——沒有哪一種方式是零風險的，只是風險的種類不同。

常用金額放交易所、長期部位考慮自託管，原則性建議

綜合以上，資產怎麼分配沒有標準答案，但幾個原則值得參考：

• 常用、需要頻繁交易的金額，放在信譽良好、合規透明的交易所比較符合便利性需求，但要留意提款可能因異常狀況被暫停。
• 長期不動用的部位，可以考慮自託管或冷錢包，降低交易所端的風險曝露，但要有能力妥善保管私鑰與助記詞，並理解私鑰遺失是無法挽回的。
• 分散、不要單點集中，不論是分散在多個交易所，或是自託管與交易所並用，都是降低單一失敗點衝擊的方式。

必須提醒的是，不論選擇哪一種保管方式，都沒有任何方法能保證絕對安全；加密資產本身價格波動也大，投入前務必評估自己能承受的風險。文中提到的所有規定與業者做法，實際內容請以主管機關公告與各業者官方說明為準。

最後，若想先搞懂虛擬資產交易的基本合規框架，可以延伸閱讀虛擬資產服務法是什麼？登記制改許可制對用戶的影響。