设备买回来只是第一步，后面还有几件事需要想清楚：固件能不能随便升、那串额外的密码短语到底是干嘛的、连到别的软件时它到底交出去了什么。Trezor钱包 的设计在这些细节上有明确的边界，搞清楚之后用起来会安心很多。针对已经完成初始化、开始日常使用的阶段。还没开始用的，先看基础流程那一篇。
1. 固件升级：设备固件可更新，安装前校验来源与完整性。
2. 密码短语：在助记词之外追加一串字符，生成独立账户。
3. 账户切换：同一设备可管理多套账户，按验证方式区分。
4. 地址核验：接收地址可在设备屏幕上复现一次再确认。
5. 交易签名：待签内容经屏幕确认后完成签名并回传。
6. 恢复流程：可用助记词在新设备上重建账户，结构保持一致。
1. 固件升级前校验来源，不匹配的包直接拒绝，不给安装机会。
2. 密码短语每次输入，不保存在设备里，也不随备份一起走。
3. 接收地址可在屏幕上复现，电脑端显示的结果能被独立验证。
4. 多套账户互不干扰，切换靠验证方式而不是靠额外设备。
1. 资源占用：设备只承担签名与显示，不参与网络同步。
2. 兼容性：固件保持向后兼容，升级后已有账户结构不变。
3. 上手门槛：日常操作集中在屏幕确认，动作数量有限。
4. 安全设计：私钥不出设备，密码短语不落盘。
5. 更新维护：固件发布前完成校验流程，变更内容对外说明。
固件是运行在设备上的底层程序，一旦被替换成被动过手脚的版本，前面的所有安全设计都失去意义。验签的作用是确认这个固件包确实来自官方，中途没有被篡改。设备在安装前会自动做这一步，不通过就直接拒绝。
所以固件升级时要留意设备屏幕上的提示。正常情况下会显示校验通过并要求在设备上确认；如果提示来源不明或者要求输入助记词，那就是异常，停下来核对渠道。任何要求把助记词输入到设备之外的升级流程，都不正常。
它是在助记词之外额外输入的一串字符，两者组合起来生成另一套完全不同的账户。助记词相同、密码短语不同，得到的地址和余额就完全不同。这个设计的用途是分层：常用部分放在不带短语的那套，另一部分放在需要输入短语才能进的那套。
要清楚它的代价。密码短语不会被设备保存，也不会随助记词一起备份，丢了就是丢了，没有任何找回途径。所以用之前先想清楚：这串字符打算记在哪里，和助记词是不是放在同一个地方。两者放一起的话，分层就没意义了。
设备对外只提供两样东西：公开地址和签名结果。私钥、助记词、内部随机数都不输出。配套软件能看到余额和地址，能发起待签请求，但拿不到签名能力。这个边界是硬件方案的核心，也是它和纯软件方案的根本差别。
另外，换一个配套软件不会改变账户。因为账户由助记词决定，软件只是呈现方式。同一台设备在不同软件里看到的地址是一致的，这点可以用来验证软件本身是否正常：换一个工具对比地址，对得上说明没问题。
v2.2.0（2026-09-26）
1. 固件安装前自动校验来源，异常包直接拦截并提示。
2. 密码短语输入流程增加二次确认，避免单次输入偏差。
3. 接收地址支持在设备屏幕复现，便于与电脑端结果比对。
