选择 Bitcoin Wallet 是使用 BTCPay Server 最关键的因素之一。因为即使支付系统部署在您自己的服务器上，但如果 Private Key 存储不当，或选择了高风险的 Wallet，也可能导致从客户处收到的 Bitcoin 丢失。
需要了解的重要一点是，BTCPay Server 可以与多种形式的 Wallet 协同工作，而不一定非要将 Private Key 存储在服务器上。
选择 Wallet 应考虑需要存储的 Bitcoin 价值、提现的便利性以及所需的安全级别。
1. Hot Wallet（热钱包 / 在线钱包）
Hot Wallet 是指将 Private Key 存储在始终连接到互联网的设备或系统上的 Wallet。
BTCPay Server 支持在系统内部创建 Hot Wallet，使用户可以直接在控制面板（Dashboard）上查看余额、接收 Bitcoin 以及发送交易。
优点
- 使用方便，无需每次都连接外部设备
- 可直接在 BTCPay Server 中管理资金和交易
- 适合交易频繁的商户
- 便于与网店系统实现自动化对接
缺点
- Private Key 存储在服务器上
- 如果服务器被黑客入侵或管理员账户被盗，Wallet 中的资金可能会面临风险
- 必须严格保护操作系统、数据库和备份数据
建议：Hot Wallet 中存放的 Bitcoin 数量应仅限于日常运营所需，不应作为存储企业全部资金的地方。
2. Watch-only Wallet（只读钱包 / 公钥钱包）
Watch-only Wallet 是一种可以查看余额和接收 Bitcoin，但服务器内部没有用于签名批准发送 Bitcoin 的 Private Key 的 Wallet。
在配置 BTCPay Server 时，可以使用 Extended Public Key (xPub) 或支持的 Public Wallet 数据来生成收款地址，而无需将 Seed Phrase 或 Private Key 导入服务器。
优点
- 降低了通过服务器被盗取 Private Key 的风险
- 可以查询余额和交易记录
- 非常适合向互联网公开发布的在线网店系统
- 可在收款服务器与用于批准提现的设备之间明确分离职责
缺点
- 仅凭 Watch-only Wallet 无法直接发送 Bitcoin
- 必须使用包含 Private Key 的外部设备或 Wallet 对交易进行签名
- 需要确保用于批准交易的设备的安全性
建议：对于希望通过互联网提供 BTCPay Server 服务、又不想在服务器上存储 Private Key 的在线商户来说，这是一个非常理想的选择。
3. Hardware Wallet（硬件钱包 / 冷存储）
Hardware Wallet 是一种用于存储和使用 Private Key 的设备，其设计使得即使连接到计算机以创建或批准交易，私钥也绝不会离开该设备。
常见的 Hardware Wallet 包括：
- Ledger
- Trezor
- Coldcard
- Blockstream Jade
BTCPay Server 支持通过 BTCPay Vault 系统连接某些型号的 Hardware Wallet，从而可以通过 Hardware Wallet 实体设备来验证和批准交易。
优点
- Private Key 无需上传或存储在 BTCPay Server 上
- 必须通过实体设备确认交易
- 降低了服务器上恶意软件（Malware）带来的风险
- 适合存储价值高于日常周转资金的 Bitcoin
缺点
- 购买设备需要一定成本
- 必须妥善保管设备及 Recovery Seed
- 发送 Bitcoin 时需要通过设备进行批准操作
- 如果设备丢失且没有 Recovery Seed，资金可能无法找回
建议：适用于希望通过 BTCPay Server 接收 Bitcoin，但希望将 Private Key 与服务器完全隔离的企业。
4. Multi-signature Wallet（多重签名钱包 / Multisig）
Multi-signature 或 Multisig 是一种在发送 Bitcoin 之前必须经过多组 Private Key 批准的 Wallet 系统。
例如，2-of-3 Multisig 系统意味着在总共 3 组 Private Key 中，必须至少有 2 组完成签名才能批准交易。
企业密钥存储示例：
- Key 1：保存在企业所有者的 Hardware Wallet 中
- Key 2：保存在财务主管的 Hardware Wallet 中
- Key 3：作为备用密钥存放在安全地点
即使有人丢失了设备，仍然可以使用另外 2 组密钥来批准交易。
优点
- 降低了单组 Private Key 丢失所带来的风险
- 防止单人私自挪用或提取资金
- 适合持有大量 Bitcoin 资金的企业
- 可以在多名管理者之间分担责任
缺点
- 配置比普通 Wallet 更复杂
- 需要制定周密的密钥备份和恢复流程
- 交易批准所需时间较长
- 在正式投入使用前必须对恢复流程进行充分测试
建议：适合需要多级资金控制系统的企业，或需要防止未经授权提取资金的机构。
Bitcoin Wallet 类型对比
| Wallet 类型 | 服务器是否存储 Private Key | 接收 Bitcoin | 发送 Bitcoin | 适用场景 |
|---|---|---|---|---|
| Hot Wallet | 是 | 支持 | 支持 | 日常流动资金 |
| Watch-only | 否 | 支持 | 需要签名设备 | 在线网店 |
| Hardware Wallet | 否 | 支持 | 经批准后支持 | 储备资金 |
| Multisig | 非必需 | 支持 | 需要多个密钥 | 企业与机构 |
针对在线网店推荐的 Bitcoin 存储方案
对于使用 BTCPay Server 的网店，建议将资金管理划分为 3 个部分，以降低服务器遭受攻击时的风险：
第 1 部分：Payment Receiving（收款端）
结合使用 BTCPay Server 与 Watch-only Wallet 来生成 Bitcoin 收款地址并检查付款状态，而无需将 Private Key 存放在服务器上。
第 2 部分：Operational Wallet（运营钱包）
使用存放少量周转资金的 Wallet，以支持日常支出或运营，并应设定在可承受风险范围内的最高金额限额。
第 3 部分：Long-term Storage（长期存储）
将短期内无需使用的 Bitcoin 转移至与 BTCPay Server 相互独立的 Hardware Wallet 或 Multisig Wallet 中保存。
这一方案有助于在收款服务器遭到攻击时减少损失，因为攻击者无法直接触及单独隔离存放的资金的 Private Key。
保管 Recovery Seed 的注意事项
Recovery Seed 或 Seed Phrase（助记词）是用于恢复 Wallet 的一组单词短语，任何拥有该短语的人都可以访问并控制该 Wallet 中的 Bitcoin。
因此，应严格遵守以下安全准则：
- 手动抄写 Recovery Seed，并将其保存在安全的离线（Offline）环境中
- 切勿拍照并将 Seed Phrase 保存在手机中
- 切勿将 Seed Phrase 保存到 Google Drive、Dropbox 或普通云存储中
- 切勿通过 Email、LINE 或各类即时通讯工具发送 Seed Phrase
- 切勿在联网的网站或服务器中输入 Seed Phrase
- 应在与原件分离的地点留存备份
- 在存入大量 Bitcoin 之前，务必测试 Wallet 的恢复过程
对于 BTCPay Server，如果使用已有 Wallet，仅需导入生成收款地址所必需的 Public Key 数据，切勿将 Hardware Wallet 的 Recovery Seed 输入到服务器中。
总结：BTCPay Server 应该选择哪种 Wallet？
对于注重安全性、且系统面向公众互联网开放的普通在线网店，建议将 Watch-only Wallet 与 Hardware Wallet 搭配使用。
这种方式使 BTCPay Server 能够接收 Bitcoin 并验证交易，同时 Private Key 依然安全地保留在与服务器隔离的设备中。
对于持有大量 Bitcoin 的企业，应考虑采用 Multisig Wallet，以提升提款批准过程的安全性。
核心原则是：绝不要将全部资金存放在面向互联网开放的服务器上，也不要无必要地赋予支付系统提取企业全部资金的权限。
参考文档
建议在文末提供以下链接，以便读者直接通过官方资源了解 Wallet 的配置方法：
- BTCPay Server – User Guide
- BTCPay Server – Hardware Wallet Integration
- BTCPay Server – Wallet Documentation
- Bitcoin.org – Securing Your Wallet
BTCPay Server 官方文档明确指出：连接 Existing Wallet 时仅需使用 Public Wallet 数据，无需向服务器提供 Private Key，并建议配合 Hardware Wallet 使用以提高安全性。
