资产放在联网的软件里，方便是方便，但私钥始终存在会被读取的可能。Trezor钱包 走的是另一条路：把私钥放在一个独立的小设备里，签名在设备上完成，联网的电脑只负责传递待签的内容和广播结果。它适合持有量比较大、不常动的人。如果你每天都要频繁交互，硬件签名这一步会显得繁琐，这类设备反而拖慢节奏。
1. 离线签名：交易在设备上完成签名，私钥不离开硬件。
2. 助记词生成：首次使用时在设备屏幕生成备份词，仅显示一次。
3. 多币种管理：同一套助记词派生多个币种的地址并统一展示。
4. 屏幕确认：金额与地址在设备屏幕上显示，需按键确认。
5. 密码短语：可额外设置一串字符，生成一套独立的隐藏账户。
6. 固件管理：设备固件可升级，升级前校验来源是否可靠。
1. 待签内容在设备屏幕上重述一遍，电脑上被动过的数据能被当场发现。
2. 助记词只在初始化时出现，之后不再通过任何界面输出。
3. 一套助记词管理多币种，备份负担没有随币种数量增加。
4. 固件升级前校验来源，不匹配的包直接拒绝。
1. 资源占用：设备只做签名运算，不参与同步与查询，负担极低。
2. 兼容性：可与多种界面软件配合使用，账户结构保持一致。
3. 上手门槛：核心操作就是看屏幕、按确认，动作很少。
4. 安全设计：私钥不出设备，联网端被攻破也拿不到签名能力。
5. 更新维护：固件更新保持向后兼容，已有账户不受影响。
流程是这样：联网的软件把待签的原始内容整理好，通过连线发给设备；设备在屏幕上把关键字段显示出来，人核对之后按键；设备用内部保存的私钥完成签名，把签名结果传回去；软件拿着这个结果广播出去。整个过程里，联网的那一端从头到尾没接触过私钥。
这个分工的价值在于，即便电脑上有恶意程序，它能做的最多是篡改待签内容，而篡改的结果会显示在设备屏幕上。只要核对这一步没省，就能发现异常。所以屏幕上的信息一定要看，不能习惯性地一路按确认。
助记词是账户的最终凭证，拿到它就能在任何设备上重建同一个账户。拍照会把它存进相册，而相册通常会同步到云端，同步链路上的任何一环出问题都等于把凭证交出去。截图、发给自己、存在备忘录里，问题都一样。
比较稳妥的做法是抄在纸上，分开放在两个物理位置。抄完之后做一次校验：清空恢复一遍，确认能正常进账户，纸上的字才算真的记对了。这一步很多人省掉，等真要用的时候才发现某个单词抄错了。
能。账户不依赖这台设备存在，设备只是保存私钥的载体。只要助记词还在，换一台新的或者用别的兼容软件，都能把同一个账户恢复出来，地址和余额都不会变。真正需要保护的是那串词，不是设备本身。
反过来则不成立：助记词丢了而设备还在，短期还能正常用，一旦设备损坏或者需要恢复，账户就再也进不去了。所以备份的优先级高于设备保管。另外要注意，如果当初设置了密码短语，恢复时除了助记词还要输入同样的那一串，两者缺一不可。
v2.1.0（2026-09-26）
1. 待签内容在设备屏幕上完整显示地址与金额，便于人工核对。
2. 初始化流程加入助记词校验环节，确认抄写无误后再继续。
3. 固件升级增加来源校验，不匹配的包直接拒绝安装。
