简短回答：是的。MetaMask 与任何经过严格审计的非托管钱包一样安全，到了 2026 年，它仍然是以太坊上使用最广泛的钱包。其密钥系统从未被破解，服务器也从未被清空。但“安全”并不意味着“容错”。 使用 MetaMask 时，您掌握着私钥，这也意味着您要承担全部责任。用户在此丢失加密资产的最常见原因并非黑客攻击，而是丢失了自己的访问权限，或者在不知情的情况下将访问权限交给了诈骗者。
这就是实情。本篇评测将介绍MetaMask如何保护您的安全，它是否曾遭到过黑客攻击，哪些风险是真实存在的、哪些只是博人眼球的噱头，以及如果您已经无法登录或怀疑自己被骗了该怎么办。
什么是 MetaMask？
MetaMask 是一款由 Consensys 开发的非托管软件钱包，该公司由以太坊联合创始人约瑟夫·卢宾（Joseph Lubin）于 2014 年创立。该钱包于 2016 年正式推出，现已成为以太坊乃至更广泛的 EVM 生态系统的默认钱包。
它既可作为浏览器扩展程序（Chrome、Firefox、Brave、Edge）使用，也可作为适用于 iOS 和 Android 的移动应用使用。最初它仅支持以太坊，但在 2025 年前陆续增加了对 Solana 和比特币的原生支持，因此现在一个钱包即可覆盖 EVM 链、Solana 和比特币。 “非托管”是关键所在：Consensys 绝不会持有您的资金、密钥或秘密恢复短语。这些都由您自己保管。
MetaMask 如何保护您的加密货币
这就是 MetaMask 实际上是如何保护您的密钥的。
您的密钥存储在设备上，并经过加密处理。MetaMask 将您的秘密恢复短语和私钥存储在安装该应用的设备上的加密“保险库”中。在浏览器扩展程序中，您的密码会通过 PBKDF2（SHA-256）进行扩展处理，并用于通过 AES-256-GCM 对保险库进行加密。 没有任何可读数据会离开您的设备。Consensys 无法查看您的密钥，这也意味着他们无法为您重置密码或恢复钱包。
它对密钥的加密方式完全公开透明。MetaMask 的保险库加密机制有详细文档记录，且可供独立审查，而非一个“黑匣子”，因此安全研究人员可以确认它如何保护您的密钥。（虽然有一个官方工具可用于解密您自己的保险库，但这仅是作为最后手段的恢复步骤，绝非供您随意尝试的功能。请务必仅使用官方工具，切勿将您的保险库或密码粘贴到他人发送给您的网站上。）
生物识别与硬件钱包。该移动应用支持基于手机安全钥匙串的 Face ID 和指纹解锁功能。无论是在浏览器扩展还是移动端，您都可以绑定 Ledger 或 Trezor 硬件钱包，从而让您的密钥完全远离互联网。如果您持有相当可观的资产，这将是您能做的最重要的升级。
该平台已通过审计，并向发现漏洞的黑客支付报酬。MetaMask 的 Snaps 和委托系统已接受过包括 Cure53 和 Least Authority 在内的知名安全公司的审查（Least Authority 于 2019 年对该移动应用进行的审计未发现任何威胁存储资产的关键漏洞）。此外，该平台还积极运营着 HackerOne 漏洞赏金计划，因此研究人员有经济动力去报告漏洞，而非加以利用。
关于“开源”有一点需要注意。你会看到MetaMask被称为开源。更准确地说，其代码虽在GitHub上公开，但核心客户端采用的是自定义的、允许查看源代码的许可协议，而非完全开放的许可协议。其底层的密码学库则采用开放许可协议。无论哪种情况，代码都是公开的，并且经过了严格审查。
MetaMask 是否曾遭到过黑客攻击？
这其实是大家最想知道的答案，所以这里直截了当地说：目前没有证据表明 MetaMask 自身的基础设施曾遭到入侵，也没有人曾破解过其非托管密钥模型。由于 Consensys 从未持有您的密钥，因此并不存在供攻击者破解的中央用户资金存储库。这正是自主托管的精髓所在。
发生了三起事件，但每起事件的范围都比头条新闻所暗示的要窄：
- “Demonic”漏洞（CVE-2022-32969），于2022年6月披露。安全公司Halborn发现，如果用户在普通文本输入框中输入了“秘密恢复短语”，浏览器的“恢复会话”功能可能会将其以明文形式保存到磁盘上。该漏洞需要对未加密的计算机进行物理或远程访问，还影响了Phantom和Brave等其他浏览器钱包，MetaMask已在10.11.3版本中修复了该漏洞。这是一个真实的漏洞，已得到负责任的披露并修复。
- 2023年发生的一起客户支持服务商数据泄露事件。某第三方客户支持服务商的系统遭到未经授权方的入侵，导致约7,000名曾联系客服的用户邮箱地址及工单内容泄露。Consensys声明，其浏览器扩展程序和移动应用未受影响。这是一起隐私泄露事件，而非钱包安全漏洞：既未泄露密钥，也未造成资金损失。
- 这是一起发生于2026年的承包商访问权限事件。Consensys披露，一名与朝鲜有关联的承包商通过第三方供应商获得授权，在被切断访问权限前曾拥有约一个月的时间访问MetaMask的源代码，该公司在审查期间暂停了版本发布。据Consensys自身说明，没有用户资产或数据被挪用，也没有恶意代码被发布。这是一起值得关注的供应链风险事件，而非已确认的针对您钱包的攻击。
请注意其中的规律：这些方法既没有掏空用户的钱包，也没有破解保护您密钥的加密机制。
您面临的最大风险并非黑客攻击，而是失去自己的访问权限。
使用MetaMask丢失加密货币的人，几乎从未是因为MetaMask遭到黑客攻击而丢失的。他们丢失加密货币的原因无非有以下两种。
第一种情况是失去自己的访问权限：忘记了钱包的密码（而从未将该钱包的“秘密恢复短语”记录下来）、清空了设备，或者将恢复短语保存在了无法再找到的地方。自主托管没有“忘记密码”的邮件提醒。如果密码和恢复短语都丢失了，加密保险库就是唯一的出路。
第二种情况是被诱骗而泄露访问权限：批准恶意交易、将钱包连接到虚假的DeFi网站，或者在看似真实的仿冒网站上输入助记词。
如果您目前正处于第一种情况（您仍然持有钱包或加密的保险库文件，但因忘记密码而无法访问），这并不一定意味着希望渺茫。那个加密的保险库正是我们服务的核心所在。当您仍持有加密文件但遗失了密码时，“加密资产恢复”服务将通过安全的离线密码破解技术，帮助您重新获得对 MetaMask 保险库的访问权限。我们将基于保险库数据和您提供的最可能的密码进行尝试。只有在成功的情况下，您才需要付费。
如果您丢失了恢复短语本身，或者只记得部分短语，或是几个词的顺序混乱，那情况就不同了。请阅读我们关于MetaMask 恢复短语的指南，以及关于种子短语中缺失单词的文章。
需警惕的MetaMask诈骗手段
如果有人“在MetaMask上”损失了钱，通常是遭遇了诈骗。以下是我们反复看到的几种常见模式：
- 助记词钓鱼。虚假网站和电子邮件会要求您输入12个单词的助记词来“验证”、“确认”或“同步”您的钱包。MetaMask绝不会要求您提供助记词。任何提出此类要求的人都是为了窃取您的助记词。在网站上输入您的秘密恢复短语，是导致用户资产被清空的最常见方式。
- 虚假客服。在X、Discord、Telegram以及搜索广告中，冒充者会声称要“提供帮助”，随后索要您的密语或要求屏幕共享。真正的MetaMask客服网站为support.metamask.io，且绝不会主动通过私信联系您。
- 恶意代币授权。 某个 dApp 或空投页面会引导你签署一份
批准或setApprovalForAll这是一笔将转移您代币的权限授予陌生人合约的交易。盗窃可能在数天后发生。请检查并撤销您不认识的授权。 - 掏空钱包的网站和虚假空投。一个“领取奖励”页面会诱使用户进行一次签名操作，几秒钟内钱包就会被清空。据Scam Sniffer统计，仅在2024年，此类诈骗者就从约33.2万个钱包中盗取了约4.94亿美元；其中，MetaMask用户作为最大群体，也是被冒充最多的对象。
- 虚假扩展程序和仿冒域名。伪造的“MetaMask”扩展程序和利用拼写错误抢注的URL，旨在在你输入密码的瞬间窃取你的密语。请仅从官方浏览器商店安装，并将 metamask.io 添加到书签中。
这些攻击几乎无一例外都以同样的方式收场：你泄露了恢复短语、将钱包连接到虚假的DeFi网站，或者签署了恶意授权。只要防范好这些情况，就能抵御绝大多数攻击。
如果您的钱包中的加密货币已被盗，恢复密码也无法取回这些资产。这些资金已不在您的掌控之中。“加密资产恢复”服务主要处理密码和助记词的恢复，而非资金追踪；但如果您遭遇了盗窃，我们可以将您转介给一家专门调查盗窃案件的合作伙伴。
MetaMask 安全使用最佳实践
- 将您的秘密恢复短语写在纸上（或金属上），并离线保存。切勿对其拍照，切勿将其存入云端笔记，切勿在网站上输入该短语。
- 将真实网站添加到书签，并仅从官方应用商店安装扩展程序。
- 对于任何一旦丢失会让你感到懊恼的余额，请使用硬件钱包进行存储。
- 请将每一个“连接钱包”、“批准”和“签名”的提示都视为一项决策。请仔细阅读您即将签署的内容。
- 定期审查并撤销过期的令牌授权。
- 请在您的主要持仓之外，单独准备一个用于铸造代币和高风险 dApp 的“一次性”钱包。
结论：MetaMask 安全吗？
是的。作为一款软件，MetaMask 已经非常成熟，经过了严格的审计，其密钥或基础设施从未遭到入侵。它是一款真正安全的非托管钱包。
但即便是安全的软件，也无法保护你免受密码遗失、恢复短语丢失或签署你不理解的文件等风险的影响。在自主托管的情况下，你就是最后一道防线，一旦出现问题，有时只有你才能重新获得访问权限。这一点值得在需要之前就认真对待，而不是等到需要的时候才想起来。
已经无法访问或遭到诈骗了吗？
如果您被锁在自己仍掌控的 MetaMask 钱包之外，我们或许能帮助您重新登录。Crypto Asset Recovery 通过安全、离线的技术，帮助您找回加密的 MetaMask 钱包中遗忘的密码。如果您的资金被盗，我们可以为您推荐一家负责追踪的合作伙伴。
- 忘记密码导致无法登录？了解如何找回丢失的 MetaMask 密码。
- 丢失或仅找回部分恢复短语？请参阅MetaMask 恢复短语指南。
- 不确定是在哪里创建的钱包？不妨先试着找找以前的密码。
只有在我们成功的情况下，您才需要付费。完全零风险。
为什么选择“加密资产恢复”来恢复您的 MetaMask 钱包？
- 安全、离线的恢复。实际的破解操作在与网络隔离的离线机器上进行，因此您的密钥绝不会在网络上暴露。
- 在MetaMask、Blockchain.com、Bitcoin Core等平台上，已有数千个钱包被找回。
- 按效果付费。只有当我们真正帮您重返职场时，您才需付费。
- 与真人沟通。随时联系我们，您就可以通过Zoom与我们的创始人——父子搭档克里斯和查尔斯——进行视频通话。
- 曾被BBC、《福布斯》、Vice、《The Block》和《Business Insider》报道。
常见问题
MetaMask 是正规产品吗？是的。MetaMask 是 Consensys 推出的一款正规产品，于 2016 年首次发布，是全球使用最广泛的加密货币钱包之一。它属于非托管型钱包，经过外部安全公司的审计，并运营着一个公开的漏洞赏金计划。
MetaMask 会被黑客攻击吗？MetaMask 自身的系统从未遭到入侵，其加密机制也从未被破解。但如果你泄露了恢复短语、签署了恶意授权，或者安装了恶意软件，你的钱包仍可能遭到入侵。几乎所有的“MetaMask 被黑事件”都是用户端的诈骗行为，而非钱包本身的漏洞。
用 MetaMask 存储大量加密货币安全吗？这是一款安全的软件，但若涉及大额资产，我们建议将 MetaMask 与硬件钱包（如 Ledger 或 Trezor）配合使用，以确保您的密钥始终处于离线状态。此外，请务必将您的助记词备份到安全可靠的实体介质上，因为自主托管没有“重置”按钮。
MetaMask 有保险吗？没有。MetaMask 属于非托管型钱包，因此没有托管方，您的资金也不受 FDIC 或私人保险的保障。您掌控着私钥，这也意味着您需要自行承担相关风险。这就是完全拥有资产所必须付出的代价。
如果 MetaMask（或 Consensys）停运了会怎样？您的资金并非由 Consensys 保管，因此即使该公司停运，您的资金也不会消失。只要您保留了秘密恢复短语，就可以将钱包导入到任何其他兼容的钱包中。即使您丢失了恢复短语，但仍然保留了加密的钱包文件，通常也可以通过该文件恢复钱包。
我忘记了 MetaMask 的密码。还能找回来吗？如果您还保留着密钥恢复短语，可以通过重新导入钱包来重置密码。如果您连密钥恢复短语也丢失了，但仍保留着加密的钱包文件，Crypto Asset Recovery 或许能通过离线破解来恢复密码。请联系我们，我们会如实告知您的情况是否可行。
