以太币私钥加密的核心就一件事：别把私钥明文扔在电脑或手机里，用钱包密码经过 scrypt、PBKDF2 或 argon2 这类算法派生一把加密密钥，用 AES 对称加密私钥，存成 keystore JSON 文件。密码只负责解锁，私钥才是资产控制权。钱包软件和硬件钱包会帮你完成这套流程，新手直接用成熟工具，别自己发明加密方案。加密目标是让拿到文件的人也得暴力猜密码，盐和迭代次数把成本拉高，但弱密码依然会被打穿。
先搞懂私钥是啥。它就是个 256 位随机数，通常显示成 64 位十六进制，谁拿到谁就能签交易转走资产。链上不会出现你的私钥，地址是公钥算出来的，交易签名才用到私钥。钱包为了本地保存方便，会把私钥加密成 keystore 文件，很多钱包叫它 JSON 备份。这里加密用的是对称加密，密码正确才能解出私钥。密码忘了，文件基本废了，但你有助记词或私钥还能重新导入。别把私钥当普通密码记在备忘录，别截图发群，别丢云盘，这些操作比不加密还危险。加密只保护保存状态，不保护你主动泄露。
加密流程不复杂，但细节挺关键。钱包密码不会直接加密私钥，而是先走 KDF，常见有 scrypt、PBKDF2、argon2。它会加一段随机盐，做很多次迭代，生成一把对称密钥。用 AES-128-CTR 或类似模式把私钥加密成 ciphertext。为了防篡改，还会用派生密钥和密文算一个 MAC。这些参数、盐、迭代次数、密文一起塞进 keystore JSON。攻击者拿到文件只能反复猜密码，每次跑 KDF 成本很高。可你密码设成 123456，再强的 KDF 也顶不住。
普通用户不用手搓加密。MetaMask、imToken、Trust Wallet 这些钱包会帮你把私钥或助记词加密存本地，Ledger、Trezor 这类硬件钱包更狠，私钥根本不离开芯片。想导出 keystore，一定设长密码，最好十几位混合字符，别和邮箱、交易所密码一样。用 web3.py 这类库也能做，Account.encrypt 传入私钥和密码就能生成 keystore，但代码里别硬编码私钥，测试网玩玩就行。加密文件和密码分开存，一个放离线 U 盘，一个记在脑子里或保险柜。怀疑泄露，立刻建新钱包转资产。助记词也别存网盘，纸和金属板更稳。钱包密码不是私钥，别搞混。遇到要私钥的网站直接关掉。
坑最多的地方是假加密。有人把私钥 base64 一下，或者异或个数字，改几个字母，就说加密了，这跟明文没区别。还有人把 keystore 发邮箱，密码写在文件名里，或者密码设成生日加 123，黑客笑醒。加密只保护静态存放的私钥，签名交易时私钥还是要在设备内存里出现一下，所以电脑手机别乱装插件，别点钓鱼链接。助记词才是最终恢复手段，keystore 密码不是。备份助记词用纸和金属板，别拍照，别联网。加密文件丢了还能用助记词救，助记词泄露就真完了。别把安全交给运气。
