我以前对“冷钱包”的理解很简单：不联网，私钥不离开设备，应该就稳了。

Coldcard 最近的安全事件把这种想当然打破了。

TRM Labs 8 月 5 日发布的分析称，一项存在于 2021 年旧版固件中的配置错误，让部分设备在生成钱包种子时使用了较弱的软件随机数，而不是原本设计的硬件随机源。攻击者不需要拿到设备，也不需要骗用户签名，就可能通过计算推导出私钥。

TRM 当时追踪到约 1,816 BTC 从超过 5,200 个地址中被转走，估值约 1.16 亿美元。由于调查仍在继续，这些数字还可能变化。

这件事最反常识的地方，不是硬件钱包存在漏洞。任何软硬件都有可能出错。

真正值得注意的是：升级固件无法修复已经生成的旧种子。

漏洞修复后，新钱包可以恢复正常的密钥生成流程，但旧种子的随机性不会凭空变强。把同一组助记词导入另一台设备，也只是换了一个外壳。风险仍然跟着那组种子。

这让我重新检查了自己的资产分配方式。

如果全部长期资产都依赖同一个品牌、同一台设备和同一组种子，看起来是“自托管”，实际上还是把风险压在一个点上。设备放得再隐蔽，也解决不了固件、随机数生成和供应链本身的问题。

现在我更倾向于把钱包按用途拆开：

长期储存的钱包不参与日常 DApp 交互；多链操作使用单独的小额钱包；新协议和陌生合约再放到测试钱包。每个钱包只承担一种任务，出问题时不至于把全部资产一起暴露。

日常多链管理也没必要和长期储存绑在一起。比如 CatWallet 的 App Store 公开页面显示，它支持 Ethereum、BNB Smart Chain、Polygon 和 Arbitrum，也可以创建或导入兼容钱包。对经常跨链操作的人来说，这类工具适合承担“日常交互入口”的角色，减少安装和切换多个应用的麻烦。

但我不会因为一个钱包支持多链，就把所有资产都迁进去。工具负责提高操作效率，用户仍然要负责隔离风险、核对签名和保管恢复信息。

这次 Coldcard 事件给我的提醒很直接：自托管不是把资产放进一个更结实的盒子，然后永远不管。它要求用户持续关注设备、固件、种子来源和资产分层。

我也很好奇大家现在怎么做：

- 长期资产和交互资产会放在不同钱包吗？

- 会使用不同品牌或不同方式生成种子吗？

- 你最信任硬件钱包、手机钱包，还是多签方案？

欢迎说说你的钱包分层方式。这个问题没有标准答案，但别人的真实做法，可能比一句“保管好助记词”更有参考价值。

#钱包安全 #Web3安全 #CatWallet #自托管