Selena

这几天大家都在争论 Ledger 的事情，其实我一直有个观点：对于冷钱包这种以安全为核心的设备，硬件结构越简单、元器件越少、对外通信接口越精简，通常意味着潜在的攻击入口越少。安全不一定靠功能堆砌，有时候做减法反而更重要。 这也是为什么我一直更倾向于 Tangem 这种卡片式冷钱包。 没有屏幕、没有电池、没有蓝牙和 USB 接口，采用近距离 NFC 通信。尤其是我比较认可它不生成、不展示助记词的使用方案，三张卡片互为备份，分散保管，既避免了手抄、拍照、输入助记词可能带来的泄露风险，又能在丢失其中一张卡片时，通过其他卡片继续管理资产。 有人总说 Tangem 没有独立屏幕，不能二次确认交易地址，所以不如带屏幕的冷钱包安全。 但我想反问一句：为什么你们默认手机屏幕不可信，却认为冷钱包的屏幕、固件和内部电路就一定可信？ 这次 Ledger 事件恰恰说明，即便是带独立屏幕的硬件钱包，也可能在流通环节被植入恶意元器件，通过内部通信线路泄露敏感信息。 再说连接方式。很多硬件钱包依靠蓝牙、USB 与手机或电脑交互，这些方式难道就天然安全吗？虽然私钥正常情况下不会通过这些接口传输，但多一种通信接口，就多一部分需要保护的硬件和软件攻击面。 即便是采用二维码离线签名的设备，也只是减少了物理连接和无线通信风险，并不代表你扫描的交易请求就一定安全。 相比之下，我更认可 Tangem 这种被动式 NFC 设计。没有电池，不需要持续无线连接，只有贴近手机、获得 NFC 供电时才会激活芯片进行交互。它并非无法被攻击，但至少在限制通信距离、减少持续暴露和简化硬件结构方面，我认为这种设计非常合理。 而且我觉得很多人忽略了最基本的一个道理： 冷钱包是用来长期保管核心资产的，不是让你天天拿出去连接各种 DApp，今天授权这个，明天签名那个。 你要是经常参与 DeFi、链上交易、空投或者各种 DApp 交互，为什么不单独准备一个热钱包，只放少量用于日常操作的资金？ 长期持有的核心资产放在冷钱包里，尽可能减少交互，真正需要转账的时候再拿出来。 你天天拿着冷钱包高频交互，签署各种自己都未必看得懂的智能合约授权，本身就是在不断扩大资产风险。 硬件钱包能够保护私钥不轻易泄露，但并不能保证你主动签下的每一笔授权都是安全的。哪怕你用的是最昂贵、屏幕最清晰、功能最丰富的冷钱包，只要自己确认了恶意授权，依然可能造成资产损失。 至于手机安全性，我也有不同的看法。 一部没有 Root、保持安全更新、不乱装来历不明的软件、具备完整系统安全机制的现代智能手机，并没有某些人想象得那么脆弱。 反过来，一台专门用于保管加密资产的硬件钱包，本身就是一个具有明确攻击价值的目标。攻击者完全可能针对特定型号、经销渠道或流通环节实施硬件植入。 手机当然也存在被针对性攻击的可能，但不同设备面临的实际威胁模型不同，不能一边把手机预设成随时会被黑客控制，一边又无条件相信冷钱包的供应链和硬件完整性。 我不是说 Tangem 没有缺点，它缺少独立屏幕核验交易的能力，确实是一项需要正视的风险。 但综合考虑我自己的使用习惯，我仍然更信任 Tangem 这种简化硬件、被动 NFC、无助记词暴露、三卡分散备份的设计理念。 更重要的是，我始终认为，真正有效的冷存储安全策略，不只是选择一台安全的设备，还包括尽可能减少不必要的交易和授权。 冷钱包负责长期存储，热钱包负责日常交互。把两者的用途分开，比整天争论有没有屏幕更有实际意义。 说到底，我选择 Tangem，不是因为它拥有多少功能，而恰恰是因为它足够简单。 对于以长期持有为目的的人来说，我宁愿选择一张平时几乎不需要拿出来的 NFC 卡片，也不愿意把存放核心资产的冷钱包变成一台天天连接 DApp、频繁签名授权的电子设备。 安全的核心，从来不是你增加了多少功能，而是你主动减少了多少风险。