先确定私钥由谁控制
风险检查的起点是资产控制方式。Bitcoin.org的钱包安全说明强调，第三方保管私钥涉及服务方的安全与诚信；自行保管则需要保护密钥、备份和设备。两种方式承担风险的主体不同。
对于托管交易所或在线钱包，要检查访问资金是否依赖平台授权，以及账户冻结、服务故障时的处理规则。对于自托管钱包，要检查设备丢失后能否恢复。平台登录密码与钱包恢复凭据用途不同，不能混为一谈。
账户保护与恢复入口一起检查
托管服务的检查包括是否支持强多因素认证、密码是否足够长且难以猜测，以及认证工具丢失后的恢复条件。不能只关注正常登录，还应理解账户恢复是否依赖另一个邮箱、设备或服务方。
多因素认证针对账户被冒用的风险，无法消除平台被攻击、停止服务或冻结访问的风险。检查账户安全与检查托管方风险，需要分别进行。
备份要覆盖实际恢复需求
钱包备份的关键是能否恢复所需密钥。确定性钱包通常可通过恢复短语重建地址，但具体所需信息应以钱包的备份机制为准；部分钱包还可能需要额外信息。
检查备份是否完整、是否与设备放在同一地点，以及联网副本是否受到加密保护。多地点备份可以减少单一地点损毁造成的影响，也会增加需要防止泄露的位置。忘记密码是否导致无法恢复，取决于是否存在其他有效恢复方式。
离线设备仍有安全边界
冷存储和硬件钱包可以减少私钥暴露于联网环境的机会，但恢复备份、设备保管和软件更新仍需检查。钱包加密也不能解决所有恶意软件问题，例如键盘记录可能泄露输入的秘密。
多重签名适用于需要多个独立授权的场景。检查重点是密钥与设备是否真正分离，以及部分密钥失效后能否满足恢复条件；全部集中保管会削弱这种设计的意义。
网站证书能说明什么
RFC 9162描述的证书透明度通过公开日志帮助发现可疑证书签发，并支持审计日志。它提供的是发现异常的机制，不能直接阻止证书误签发。
访问网站时，域名是否准确、浏览器是否提示证书异常，属于网站身份与连接层面的检查。即使网站使用HTTPS、证书被公开记录，也不能据此认定经营者可靠或资产充足。证书记录不能替代对托管风险的检查，更不能成为某个交易所或钱包已通过安全验证的结论。