在 Web3 混迹久了，哪怕你自己够小心、够幸运，没有经历过资产被盗的至暗时刻，但你绝对在社群里听到过这样的求助：
「我从没截图，也没把助记词给别人，只是正常用钱包，为什么资产还是没了」，这些案例中最令人绝望的共同点在于，受害者根本不知道自己是在哪里被攻破的：
有人在不知情的情况下安装了被篡改的浏览器插件；有人将助记词存放在手机笔记里，被云同步到未知服务器；有人手机中了木马，剪贴板内容被静默上传；甚至有人连接假冒的网站，输入了助记词，几秒钟后，钱包里的资产瞬间归零......
这并非危言耸听，可以说目前加密领域绝大多数钓鱼诈骗案件的背后，往往都有一个共同的脆弱点——助记词，本文也将解析为何助记词正在成为资产安全的最大软肋，以及账户抽象（AA）与 Passkey 有望如何重新定义资产主权。
一、EOA 模式的极限：「助记词」成为诅咒
我们必须承认一个事实：EOA 账户的问题并不是「不够安全」，而是它从一开始就承担了太多。
众所周知，在传统 EOA 模式下，助记词就是加密世界的基石，一段 12 或 24 个单词的种子短语，代表了对链上资产的绝对掌控，也构成了新人眼中加密货币安全性的最显著特征——「私钥 / 助记词即资产」：
只要你持有这把钥匙，无论是交易所还是验证者，任何人都无法冻结、没收或代替你操作，但与此同时，这种完全的去中心化也像一把双刃剑，既代表了「绝对的控制权」，但也意味着无法避免的「单点故障」。
首先便是没有「后悔药」。一旦你的助记词泄露（哪怕只是 N 年前截的一张图，只要被复制或同步），你的钱包就永远不再安全，且无法像在银行/支付宝/微信 App 里「修改密码」那样重置助记词。
唯一的办法是废弃钱包，转移资产，这也意味着如果攻击者比你动作快，你没有任何「撤销」或挽回的机会。
其次，它是黑客眼中的「完美蜜罐」。毕竟助记词的权限太大了，木马、假钱包、伪装插件、钓鱼网站、假客服等等，黑客不需要攻破区块链坚固的密码学防线，他们只需要攻破你的防备心，所有攻击路线最终都汇聚到同一个目标，即诱导你交出那 12/24 个单词。
最后，对于习惯了 FaceID 和指纹支付的现代用户来说，理解并安全保管一张纸质的助记词，是一道巨大的认知门槛，这不仅阻碍了 Web3 的大规模普及，更让每一次交互都伴随着「我会不会搞丢」的心理负担。
这就像守卫一扇只能用「同一把钥匙」打开的门，而这把钥匙既暴露在用户日常操作中，又暴露在所有设备与系统环境的风险里。
也正是在这种背景下，从 2022 年开始，EOA 极限之外的无助记词/无明文私钥钱包就逐渐成为一门显学，从 MPC 技术，再到 CA 钱包，大家都在探索一种更优解——既能拥有 Web3 的资产主权，又能像使用 FaceID 解锁手机一样简单安全。
而站在如今的关口，伴随着账户抽象（Account Abstraction, AA） 与 Passkey 技术的结合，我们或许真的有望在下一个十年，终结助记词的统治时代。
二、Passkey：把你「本身」变成钥匙
如果说账户抽象（AA） 是将账户从「单一私钥」中解放出来，进入可恢复、可升级、可配置的新时代（延伸阅读《从 EOA 到账户抽象：Web3 的下一次跃迁将发生在「账户体系」？》），那么通行密钥（Passkey） 就是推动用户体验发生质变的那把「终极钥匙」。
相信很多人对 Passkey 这个词还感到陌生，其实作为一种基于 FIDO 标准的无密码登录技术，它早就是苹果、谷歌等科技巨头都在力推的下一代无密码技术未来标准。
而在加密世界，它的意义尤为重大。
简单来说，Passkey 是存储在你设备（如手机或电脑）安全芯片中的数字密钥，它不再需要你记忆、保存或输入助记词，只需使用设备上的生物识别（Face ID / 指纹）即可完成登录与签名。
事实上，许多人已经在不知不觉中享受了 Passkey 的便利：你在苹果设备上登录一个 App，或在浏览器中登陆某个网站时，只需「刷脸」/指纹/输入 PIN 码，就完成了过去需要输入密码才能完成的事情。
这种体验之所以让人上头，是因为它既丝滑又安全。因此如果 Web3 钱包实现了对 Passkey 的支持，理论上就可以做到用户完全不需要接触私钥，甚至结合账户抽象，连 Gas 这一步也可以被抽象掉，形成一种前所未有的「无感操作」体验。
那为什么说 Passkey 天然比 EOA 模式更抗钓鱼？因为它具备两个传统助记词模式永远无法拥有的超能力：
- 你的私钥永远不会离开设备，更无法被「骗走」：助记词是一串字符，你可以把它发给别人，但 Passkey 绑定在你的硬件设备中，私钥永远不会离开你的设备主体，黑客无法通过钓鱼网站或被篡改的浏览器插件让你「输入」你的指纹或脸部数据；
- 从底层杜绝假冒网站：这也是 Passkey 最核心的杀手锏之一，依赖 WebAuthn / FIDO2 的绑定机制，Passkey 协议会强制校验当前网站的域名，意味着即使你误入了诈骗网站（譬如很多发短信骚扰的 imToken 高仿诈骗网站），你的设备会发现域名不匹配，拒绝进行生物验证，这是系统级的防御，不依赖你的人工判断。
同时，Passkey 的体验也足够丝滑，不抄助记词、不截图、不备份，只需轻触指纹或刷脸即可完成登录、签名与授权。
也正是因为如此，AA 配合下的 Passkey，在 Web3 世界可以视为是一种体验与安全同时跃升的方案，而不是让用户更小心学习使用的补丁。
三、下一代的 Web3 安全与体验哲学
从这个角度来看，当 AA 遇上 Passkey，我们终于能构建出一种更符合直觉、更安全、也更面向未来的账户模型。
你可以这样理解这种新的安全与体验哲学：
- 人即钥匙：账户由设备本身保护，Face ID / 指纹就是你的签名；
- 物理隔离：安全是硬件级的，存储在安全芯片中，不能被导出，更不会被木马读取；
- 云端漫游：凭借 iCloud 等同步方式，账户可以在多设备间安全漫游；
- 系统防御：不是让用户更努力地去辨别真假网站，而是让系统更聪明地自动拦截风险。
这一切构成了一种新的范式，不是让用户更努力去学习、防范，而是让系统更聪明。
以 imToken Web 为例，它就是一个非托管，以代币为核心的网页应用，旨在让用户无需设置或备份私钥/助记词，就能快速、安全地创建或登录账户，并随时随地享受多样化的代币功能。
譬如使用 imToken Web，你将获得一种几乎无门槛的「四无」体验：
- 无门槛创建：不需要找纸笔抄写 12 个单词，也不用担心助记词抄错。点击连接钱包，验证 Face ID / 指纹，账户即刻生成；
- 无惧钓鱼风险：因为登录依赖 Passkey，假网站无法通过域名校验，也就无法调起签名，你的私钥永远不会暴露；
- 无 Gas 焦虑：作为 AA 钱包，imToken Web 支持使用 USDT/USDC 直接支付 Gas，再也不用因为账户里没有 ETH 而寸步难行。
- 无缝设备漫游：借助系统级同步能力，你的 Passkey 可以在你的苹果或谷歌生态设备间自然同步，就算手机丢了，只需在新设备上登录你的系统账号（Apple ID / Google），验证生物识别，账户依然安全可恢复；
更有趣的是，这种低门槛体验解锁了全新的交互方式。
基于此，你甚至可以在 imToken Web 像发红包一样发送代币。譬如选择「通过链接发送」，设置好「金额」和「链接有效期」后直接创建链接，然后在微信、推特或 Telegram 等任意渠道发送给任何人（即使他们没有钱包）。
接收方无需任何前期设置，只需点击链接，即可通过「通行密钥」安全便捷地创建账户并领取资产。
写在最后
Web3 的未来，不应该只有极客才能生存。
其实在充满不确定性的 Web3 世界里，像 imToken Web 这样把最硬核的安全技术（AA & Passkey），封装进最简单的用户体验中，进而降低增量/存量用户的安全门槛与体验，正是钱包这种流量入口探索下一个十年的应有之义。
所以，如果你受够了保管助记词的焦虑，如果你担心成为下一个钓鱼攻击的受害者，或者你只是想向朋友推荐一款「不用教就能上手」的加密钱包。
那，是时候期待或尝试一下没有助记词的未来了。