硬件钱包

硬件钱包是一种实体设备，旨在将私钥保存在与互联网连接的电脑或手机分离的环境中，并对加密货币交易进行签名。在典型的比特币钱包（英文）方案中，配套软件构造交易，硬件钱包为其签名，再由配套软件广播交易。这种隔离可以减少联网设备上的恶意软件带来的风险，但不能使钱包免遭盗窃或入侵。

Trezor 设备显示一笔待确认的交易。

工作原理

联网钱包与签名设备承担不同的任务。配套软件可以监控余额并构造未签名交易，而无需持有支出密钥。签名设备审核交易数据并为其签名，然后将结果返回，以便广播。比特币的部分签名比特币交易（PSBT）格式提供了一种在软件与签名设备之间交换交易信息的标准方式。

设备上的显示屏让用户能够独立于主机电脑核对交易详情。其作用取决于设备是否完整可信，以及其软件能够解析和显示哪些信息。在智能合约交互中，盲签名是指批准其含义无法在设备上充分核验的数据。以人类可读形式解析交易有助于审核，但支持情况取决于设备、应用程序和合约；有效签名仍可能授权用户不希望进行的转账。

备份与恢复

许多确定性钱包会从种子派生密钥，并以助记词恢复短语的形式备份该种子。BIP 39规定由随机熵生成的助记词短语。派生种子时，将可选口令与助记词一起使用。口令不一定只是额外添加的一个单词：不同的口令会生成不同的种子。

恢复短语可以在没有原设备的情况下恢复访问权限，因此泄露短语会破坏硬件提供的保护。恢复需要兼容的钱包和正确的备份信息；使用口令保护的钱包还需要准确的口令。即使助记词仍然可用，丢失口令也可能导致无法恢复。设备 PIN 与恢复口令用途不同。

安全局限

密钥隔离可以降低主机遭入侵带来的一些风险，但不能保证用户批准的交易是安全的。恶意界面、无法读懂的签名请求以及备份材料泄露仍然是相关风险。根据 Ledger 的事件报告，2023年十二月，由去中心化应用加载的恶意 Ledger Connect Kit 软件诱使用户签署会导致资产被转走的交易。

物理篡改也可能针对安全芯片之外的信息。《The Record》在2026年10月13日的报道中转述 Ledger 的说法：通过东南亚经销商 CryptoBilis 销售的设备内含植入物，会在设置过程中窃取恢复短语。《The Record》还转述 Ledger 的警告称，由于安全芯片仍保持完整，这些设备可能仍能通过真实性检查。截至该报道发布时，Ledger 尚未确认受影响的型号或损失总额。这说明的是该报道所述攻击中这些检查的一项局限，并不能证明所有硬件钱包型号都受到影响。

设备与研究

Trezor和Ledger是硬件钱包产品系列的例子。各设备的设计和功能有所不同，因此比较时应区分具体设备及软件版本，而不应把整个品牌一概认定为普遍安全。

Ledger Nano S，Ledger 的历史型号。

最初的Ledger Nano S于2016年推出；Ledger 宣布于2022年停止生产该产品，并由 Nano S Plus 取代。

Joe Grand 另行记录了对一台 Ledger Nano X 内真实植入物的逆向工程分析；演示文稿幻灯片于2026年5月29日修订。该研究确认其检查的设备为 Nano X，而后续经销商事件报道并未确定受影响的型号范围。

另见

• 冷存储
• Ledger
• Trezor

外部链接

• 比特币开发者指南：钱包