选择 Bitcoin Wallet 是使用 BTCPay Server 最关键的因素之一。因为即使支付系统部署在您自己的服务器上，但如果 Private Key 存储不当，或选择了高风险的 Wallet，也可能导致从客户处收到的 Bitcoin 丢失。

 需要了解的重要一点是，BTCPay Server 可以与多种形式的 Wallet 协同工作，而不一定非要将 Private Key 存储在服务器上。

选择 Wallet 应考虑需要存储的 Bitcoin 价值、提现的便利性以及所需的安全级别。

1. Hot Wallet（热钱包 / 在线钱包）

Hot Wallet 是指将 Private Key 存储在始终连接到互联网的设备或系统上的 Wallet。

BTCPay Server 支持在系统内部创建 Hot Wallet，使用户可以直接在控制面板（Dashboard）上查看余额、接收 Bitcoin 以及发送交易。

优点

• 使用方便，无需每次都连接外部设备
• 可直接在 BTCPay Server 中管理资金和交易
• 适合交易频繁的商户
• 便于与网店系统实现自动化对接

缺点

• Private Key 存储在服务器上
• 如果服务器被黑客入侵或管理员账户被盗，Wallet 中的资金可能会面临风险
• 必须严格保护操作系统、数据库和备份数据

建议：Hot Wallet 中存放的 Bitcoin 数量应仅限于日常运营所需，不应作为存储企业全部资金的地方。

2. Watch-only Wallet（只读钱包 / 公钥钱包）

Watch-only Wallet 是一种可以查看余额和接收 Bitcoin，但服务器内部没有用于签名批准发送 Bitcoin 的 Private Key 的 Wallet。

在配置 BTCPay Server 时，可以使用 Extended Public Key (xPub) 或支持的 Public Wallet 数据来生成收款地址，而无需将 Seed Phrase 或 Private Key 导入服务器。

优点

• 降低了通过服务器被盗取 Private Key 的风险
• 可以查询余额和交易记录
• 非常适合向互联网公开发布的在线网店系统
• 可在收款服务器与用于批准提现的设备之间明确分离职责

缺点

• 仅凭 Watch-only Wallet 无法直接发送 Bitcoin
• 必须使用包含 Private Key 的外部设备或 Wallet 对交易进行签名
• 需要确保用于批准交易的设备的安全性

建议：对于希望通过互联网提供 BTCPay Server 服务、又不想在服务器上存储 Private Key 的在线商户来说，这是一个非常理想的选择。

3. Hardware Wallet（硬件钱包 / 冷存储）

Hardware Wallet 是一种用于存储和使用 Private Key 的设备，其设计使得即使连接到计算机以创建或批准交易，私钥也绝不会离开该设备。

常见的 Hardware Wallet 包括：

• Ledger
• Trezor
• Coldcard
• Blockstream Jade

BTCPay Server 支持通过 BTCPay Vault 系统连接某些型号的 Hardware Wallet，从而可以通过 Hardware Wallet 实体设备来验证和批准交易。

优点

• Private Key 无需上传或存储在 BTCPay Server 上
• 必须通过实体设备确认交易
• 降低了服务器上恶意软件（Malware）带来的风险
• 适合存储价值高于日常周转资金的 Bitcoin

缺点

• 购买设备需要一定成本
• 必须妥善保管设备及 Recovery Seed
• 发送 Bitcoin 时需要通过设备进行批准操作
• 如果设备丢失且没有 Recovery Seed，资金可能无法找回

建议：适用于希望通过 BTCPay Server 接收 Bitcoin，但希望将 Private Key 与服务器完全隔离的企业。

4. Multi-signature Wallet（多重签名钱包 / Multisig）

Multi-signature 或 Multisig 是一种在发送 Bitcoin 之前必须经过多组 Private Key 批准的 Wallet 系统。

例如，2-of-3 Multisig 系统意味着在总共 3 组 Private Key 中，必须至少有 2 组完成签名才能批准交易。

企业密钥存储示例：

• Key 1：保存在企业所有者的 Hardware Wallet 中
• Key 2：保存在财务主管的 Hardware Wallet 中
• Key 3：作为备用密钥存放在安全地点

即使有人丢失了设备，仍然可以使用另外 2 组密钥来批准交易。

优点

• 降低了单组 Private Key 丢失所带来的风险
• 防止单人私自挪用或提取资金
• 适合持有大量 Bitcoin 资金的企业
• 可以在多名管理者之间分担责任

缺点

• 配置比普通 Wallet 更复杂
• 需要制定周密的密钥备份和恢复流程
• 交易批准所需时间较长
• 在正式投入使用前必须对恢复流程进行充分测试

建议：适合需要多级资金控制系统的企业，或需要防止未经授权提取资金的机构。

Bitcoin Wallet 类型对比

针对在线网店推荐的 Bitcoin 存储方案

对于使用 BTCPay Server 的网店，建议将资金管理划分为 3 个部分，以降低服务器遭受攻击时的风险：

第 1 部分：Payment Receiving（收款端）

结合使用 BTCPay Server 与 Watch-only Wallet 来生成 Bitcoin 收款地址并检查付款状态，而无需将 Private Key 存放在服务器上。

第 2 部分：Operational Wallet（运营钱包）

使用存放少量周转资金的 Wallet，以支持日常支出或运营，并应设定在可承受风险范围内的最高金额限额。

第 3 部分：Long-term Storage（长期存储）

将短期内无需使用的 Bitcoin 转移至与 BTCPay Server 相互独立的 Hardware Wallet 或 Multisig Wallet 中保存。

这一方案有助于在收款服务器遭到攻击时减少损失，因为攻击者无法直接触及单独隔离存放的资金的 Private Key。

保管 Recovery Seed 的注意事项

Recovery Seed 或 Seed Phrase（助记词）是用于恢复 Wallet 的一组单词短语，任何拥有该短语的人都可以访问并控制该 Wallet 中的 Bitcoin。

因此，应严格遵守以下安全准则：

1. 手动抄写 Recovery Seed，并将其保存在安全的离线（Offline）环境中
2. 切勿拍照并将 Seed Phrase 保存在手机中
3. 切勿将 Seed Phrase 保存到 Google Drive、Dropbox 或普通云存储中
4. 切勿通过 Email、LINE 或各类即时通讯工具发送 Seed Phrase
5. 切勿在联网的网站或服务器中输入 Seed Phrase
6. 应在与原件分离的地点留存备份
7. 在存入大量 Bitcoin 之前，务必测试 Wallet 的恢复过程

对于 BTCPay Server，如果使用已有 Wallet，仅需导入生成收款地址所必需的 Public Key 数据，切勿将 Hardware Wallet 的 Recovery Seed 输入到服务器中。

总结：BTCPay Server 应该选择哪种 Wallet？

对于注重安全性、且系统面向公众互联网开放的普通在线网店，建议将 Watch-only Wallet 与 Hardware Wallet 搭配使用。

这种方式使 BTCPay Server 能够接收 Bitcoin 并验证交易，同时 Private Key 依然安全地保留在与服务器隔离的设备中。

对于持有大量 Bitcoin 的企业，应考虑采用 Multisig Wallet，以提升提款批准过程的安全性。

核心原则是：绝不要将全部资金存放在面向互联网开放的服务器上，也不要无必要地赋予支付系统提取企业全部资金的权限。

参考文档

建议在文末提供以下链接，以便读者直接通过官方资源了解 Wallet 的配置方法：

1. BTCPay Server – User Guide
2. BTCPay Server – Hardware Wallet Integration
3. BTCPay Server – Wallet Documentation
4. Bitcoin.org – Securing Your Wallet

BTCPay Server 官方文档明确指出：连接 Existing Wallet 时仅需使用 Public Wallet 数据，无需向服务器提供 Private Key，并建议配合 Hardware Wallet 使用以提高安全性。