在加密货币世界中，钱包对应的私钥相当于钱包中存储的资产，是唯一可以使用钱包中资金的令牌。如果私钥生成或管理不好，会造成很大的安全漏洞，几乎所有的加密货币被盗事件都与私钥生成或管理不当有关。
比特币钱包不仅用于交易，通常还负责生成私钥。一些安全意识高的用户会采用"脱机生成私钥"，而且只有在使用比特币时，私钥才会导入钱包进行交易。在离线生成私钥的方法中，纸钱包受到许多人的高度赞扬。用户只需准备一台干净安全的电脑，连接纸质钱包生成网站，然后直接使用网页上的私钥生成功能，即可获得一套新的私钥和对应的钱包地址。
考察其原理。不需要连接到网络来生成私钥。私钥本身是一系列随机数，生成过程只需要一个随机数种子"足够随机"符合标准。"纸钱包一代网站"通常提供一个可以离线工作的JavaScript程序。当用户'；s电脑断网点击生成私钥，程序会用一些加扰因子(比如鼠标轨迹、键盘输入、系统时间)作为一些参数，从系统加扰池中获取标准加扰数来生成私钥。但是这样生成的私钥真的安全吗？
通过下面的分析，用户会发现，即使计算机是干净安全的，生成私钥的过程也没有连接到网络，用于打印出纸质钱包的打印机服务也没有被驱动程序截获，即使在这样一个完全安全的环境下，由"纸钱包一代网站"已生成。，还可能有危险！
台湾省密码朋克台湾创始人陈与Zian公司CYBAVO合作，发现有人使用特定网站的纸质钱包，私钥被盗。经过CYBAVO的进一步追踪，发现大多数"纸钱包一代网站"都是用和BitAddress.org一样的JavaScript源代码重新开发的。有许多著名的"纸钱包一代网站"在这些网站里。如WalletGenerator.net和BitcoinPaperWallet.com，已被证实有后门。阻断药之前报告的
。加密纸币钱包生成器WalletGenerator.net运行的代码被发现是"有缺陷的"，允许批量生成器向多个用户重复发送同一组钱包私钥和公钥，但实际上，每个人'；的密钥应该是唯一的并且是随机生成的。
不得不提的是，为了保证纸质钱包的安全性，密钥必须随机生成。然而，大多数"纸钱包一代网站"会修改代码，有些方法比较粗糙。如果用户在生成私钥时没有断网，则上传用户随机生成的私钥消息；有些用户为了避免用户在私钥生成过程中断网或者在上传私钥时引起报警，只会修改随机数间隔，使得私钥只在一定范围内重复生成。也就是说，无论用户生成多少次私钥，私钥都只会被那几百组重复生成，而密钥并不是随机生成的，更不用说"独特的"。
为此目前，提供源代码的BitAddress.org作者只能在用户中声明这些事件与他无关'；回复，但是可以'；无法有效遏制这种情况。虽然一些网站已经被列为可疑网页然而，仍然有许多"纸钱包一代网站"那些改变了网站外观和地址然后重新上线的，比如AmazonPowers.com(在百度搜索中排名前三)。用户应特别注意避免在这些恶意"纸钱包一代网站"。
cybAVO经过实际测试已经成功生成了重复私钥，同时私钥的相对地址也存在于比特币交易记录中。下面列出了相关的地址列表。如果一个读者'；的钱包是通过"纸钱包一代网站"并且生成的地址在列表中，，请立即将资金转出，并丢弃钱包。目前相当多的地址都有交易记录，钱一旦进入这些钱包，就会立刻被转出。很明显，黑客利用了这个漏洞，随时监控这些地址，然后钱一进去就立马转走。
CYBAVO上诉如果有读者是这些纸质钱包的受害者，一定要尽快联系团队，CYBAVO会尽力帮助受害者拿回被盗的比特币。以下是详细的通讯录：
1kgabgv4xwzco6ebbfykfpmdqnkymmg4f
154sxm9efqvxbvmuk87myy6aa3cndcjfg
1bvaqauhk46nxf1z7kbfggg5fpigku25
1L9xh7徐9yq6p39pvncnjm8a2xjj1M8zbs
1lswadf991SEB6vyqworgqd2dVX6p2nau
172BGAvud7ztjedlelbbgcig8uhsd9t7APD
14raday9uky7tdgkww9ulczbj6u1bd4VN
16wrqqszqswp7ud4jhb1crpvjq8d6etuza
1bqhkbxceymt7cjmstiwxb74etukhkdrpt
1CTF6gmdbyqmxq7JT43w63yt5augf4uvi
12ziu6dsjdz7poy5lnxc8ndn1x7kkcqexv
1a8jzzxhew8MX1hbqkyjddbrecwptxtqtk
133bx5ywrgyhbv8yjvwvar7tmsuhzmfsja1hgjedzhq89s96njvkldbj4nypJM9qw3f
1mfpqsdiraprvyaskf8oc5ja1zkdszn
16fuuf7gsf2gbvjig1kqrd4ksnmnubx7dq
1ljclg4qu1x1BD8xnaounqthcajpwqmzni1ljyxuygyrs2z8ukwtnlmomfjtstbqwrh
1kzf87otzaw8fevrwyip5na6dz39e6eaQ1
1exg94gyr63F3ij8xkxpm2igac2jfgtksp
14kfgdncu8nrvfpkwik2tukynezpmq2b3k
14raday9uky7tdgkww9ulczbj6u1bd4VN1sycbfgibf1mahxckaiiignevmgsfntdq3
133bx5ywrgyhbv8ywvar7tmsuhzmfsja
13qW3UrhTirJELFoX方根czcpttd3lyzt4
1nllgixwkhfgrgmdradb9ruugtlelrv9 1kytannpoo2ytmvcywhsatr3mgffmwvphj1giqvuabtcnysphpxcqyh3ducx88xneiFDA
1mnk9M9xuyrvfdjlg8zxqpg7tfkbtn9wx 1eciykhpgyrjrs1aww7bs6iyckubutsvz18ctbu3jhc7bbwrmeot548qlykbkxnat6
18jxfdl4offdvvhmxqvqjtdm73bqe1C2VQ
1p518uyvz6vbupkglpqjruc2dycam6dqcf
1kkhibahkk3zxoniyzntflf4MTC5enkdbb
1hdremmzxy21u3ynojqe4UE4j66q84c6op
15duoaphf5yq9kzhuekrztnjwok9zfg5
15uxek954tsw3f7pspndvdeeetcpdhxip
14kfgdncu8nrvfpkwik2tukynezpmq2b3k
1dsruf7pbvckdab7yhakpubuwt22zboYu
1F5vpwffddnnvbpzmqgunjqsdrkwpu7gfe
12tngq99e18gfwt1svkhnsuvareec6aroj
16zbadggmgmts92SAS1cfstfhnyfe1mrwjaz
15bkrpvgsqs5njs9wjzpppfdkbdsy2nttdf
13tujbeyevh8e8amvamsdsdnszw5fsd19qz
16qumjh6he3dw4hx87bbxks1abgdbsaks
13tvhrfk4x7y84jeyzdmvxkmbjpg4y6evt
1pad114rcjcmccfbhzcqebe7bvzl2j9fpib
17VDMhe1ym9xqmyaa6ahw4fvu5ibvcnibi
184wrjza5a8k2kxizdpdrbhaj63fdfaajc
18372NNAVMA9vgduvrehzovgdiiptnrrw5
127i4e35GL11pnrsznr7qeaju8bvy4zkqr
1e6vqrph3x9zclfsjyu2bjmyelrxgnzb1s
1hjmaump6t9sxunmaum8z36kflppz499z2
15l6YF28vh8bxp2pmwuud5pbvyyspspr
1pjkrag4e41LP691indggkellrcdzn2FD
1grnlqv31mnxuahstwzmq13stzez82reqz
16yx9juhqytlrutxdpmdjeniqamhwscw
13tujbeyevh8E8amvamsdsdnszw5fsd19qz
13qW3UrhTirJELFoX方根czcpttd3lyzt4
1gkat5dvdd8sbshdbytwekyfqyep5es8k
1qaf2MB5kmJ1whgbx1nqc5c8ciwytyak4
cybAVO战略合作伙伴UnblockAnalysis已成功追踪相关现金流，部分资金已进入交易所。。大部分被盗的比特币会被送到一个固定的地址进行积累，达到一定数量后会被迅速转移，混在一起后会被卖掉。下图显示了解锁分析分析其中一个地址后的黄金流量信息：
。
锁定地址（目标地址):1rnlgixwkhfgrgmdradb9ruugtlelrv9
(A)1nllgixwkhfgrgmdradb9ruugtlelrv9
(B)1bsz6qw3kr2cz8noutjo1Hoa8snybt4n25
[x][x][x][x][x][x][x][x][x][x][x][x][x][x][x]以上(a)为锁地址，(b)、(c)、(d)为流地址。2019年12月6日，资金从(a)转到(b)、(b)转到(c)，再从(c)转到(d)。资金转账在90分钟内完成。这样的资金流动引发了一种怀疑"白手套(中介)"交易，这让黑客更加确信他有锁定地址的私钥，并在他们进入钱包时立即转移资金。
最后如果读者'；个人还是公司'；的钱包系统使用上述代码生成私钥，请立即检查随机数的生成过程。请务必遵守以下三个原则：
生成私钥时注意随机数的获取方式，随机数必须符合NIST标准。
用于生成私钥的种子长度必须至少为256位。
私钥生成过程中，如有错误，必须立即停止，以免生成的私钥不够无序。
据报道，CYBAVO是一家网络安全公司。，致力于为企业提供安全易用的区块链私钥托管和无密码认证服务，旨在为企业提供类似企业银行账户、符合监管的加密货币管理机制，采用最完善的加密技术和最严格的网络安全标准。