冷钱包app下载官网

搜冷钱包app下载官网的人，多半已经接受一个前提：长期存放的币不该放在联网设备上。但落到安装这一步，最先遇到的是名实不符应用商店里叫「冷钱包」的软件，绝大多数只是一个观察端，用来在手机上查看地址与余额、把待签交易转交给离线设备，它自己并不保管私钥。

真正让钱包「冷」的是私钥从不进入任何联网设备的处理器，这一条发生在签名环节，而不发生在你点下载的那一下。分清这两件事，配套应用该装在哪台设备、该不该让它联网、签名时该比什么，就都有了答案。下面按「先定形态、再走流程、最后说维护」的顺序展开。另外要提前说清：冷钱包不是一劳永逸的方案，它在「不常动」的前提下才有意义，如果一周要转三次，串起来的流程会让人烦，最后往往为了方便把私钥导回手机，那等于白折腾。

冷与热的分界在签名那一刻：私钥进没进联网设备

判断一个钱包是不是真的冷，不看应用名字，也不看它有没有联网权限，而看签名时私钥所在的位置。离线设备在内部完成签名，输出的是一串已经签好的交易，联网端只负责广播；如果某一步要求你把助记词输入到手机或电脑上，那这一步就已经把私钥送进了联网环境，无论应用自称什么。

这也是为什么离线设备通常带一块小屏幕：签名前要在那块屏幕上读到收款地址与金额，再按键确认。手机上的配套应用显示的地址可以被人替换，设备屏幕上的不行那条路径从设备的固件直接到屏幕，中间没有可被注入的环节。所以核对时要以设备屏幕为准，手机上看到的只作参考。

二维码和文件两种传输方式，卡的地方不一样

离线签名要解决「数据怎么在不联网的情况下传过去」，常见做法有两种：一种是二维码一来一回，手机显示待签交易的码，设备摄像头读进去，签完设备再显示一个码，手机扫回来广播；另一种是用存储卡或数据线把交易文件拷过去、签完再拷回来。

二维码的好处是全程不接触文件系统，适合设备没有存储卡槽的形态；麻烦在于复杂交易的二维码会分成很多帧，扫的时候要保持稳定，光线不好时容易读一半失败。文件方式的好处是一次传完不受屏幕大小限制，代价是文件经过的每一个环节都可能被动过，所以要核对文件的摘要，而不是只看文件名。

两种方式都成立的前提是：签名结果只出不进，设备只接收待签交易，从不接收「私钥」这种东西。遇到要求导入私钥的所谓离线签名流程，直接放弃。还有一个实操细节：设备屏幕上显示的交易内容要包含手续费、找零地址这些不显眼的字段，只显示收款人与金额的实现不够格，因为改手续费与找零是常见的攻击面。

配套应用可以装在常用手机上，但要按只读来用

观察端装在主力手机上是最方便的：随时能看余额、生成收款地址、组装待签交易。风险在于它也在这台手机上，而这台手机同时装着聊天软件、浏览器和各种应用，屏幕上的信息可能被截取。

所以配套应用的使用边界要定死：只读地址和余额，从不输入助记词，从不导入私钥。生成收款地址这件事可以在观察端做，因为地址是公开的，被看到没有损失；组装待签交易也可以，因为没签名的交易改不了链上状态。只有签名动作必须回到离线设备上完成。

如果对手机环境不放心，还有更保守的做法：观察端装在只用来查看的旧设备上，平时不登录任何账号，需要时再拿出来用。这样即便主力手机中了恶意程序，它也拿不到任何与签名相关的东西。

助记词备份要防的不只是丢，还有「只丢一半」

离线设备的助记词备份和软件钱包要求一样手写、离线、不拍照但多一层考量：设备可能因为固件损坏、屏幕摔裂、接口失效而无法使用，那时唯一的出路就是靠备份在新设备上恢复。所以备份必须能被另一次完整恢复验证过，光「写下来了」不算数。

介质上，纸怕水怕火，金属板耐高温但刻字费事；折中的做法是纸与金属各一份，放在两个不相关的地点，任何一处损毁都还有另一处。写完当场走一遍恢复流程，确认地址一致，再把备份收起来。这一步在设备还能正常工作时做，出了问题还能重来。

长期不动的资产才适合进冷钱包，动得勤的留一部分在外面

冷钱包的流程决定了它不适合频繁操作：组装、传输、屏幕核对、按键确认、再广播，每一步都要时间。资产分成两份更实际大头放在离线设备里，几个月动一次；日常周转的部分留在软件钱包，随用随取。

这个分法还有个附带好处：软件钱包里放的钱少，即便哪天遇到钓鱼授权、恶意签名请求，损失也有上限。真正需要注意的是别忘了那份分仓比例，隔一段时间回看一次，把涨上去的部分挪到离线那一半，而不是一直放在热钱包里图省事。挪动时同样先小额试通，确认设备与观察端的地址一致，再转大额新设备上最容易出现的错，是导入了旧备份而没注意到地址与预期不同。

固件与配套应用都只从原厂渠道更新，别用群文件里的版本

离线设备的意义建立在固件可信之上，而固件同样可以被改。所以升级只走设备内自带的功能或厂家公布的桌面工具，不从论坛、网盘、群文件里拿安装包，也不要用别人给的升级文件，哪怕对方说是为了修某个问题。

观察端也是同一道理。它虽然不持私钥，但它在组装待签交易，如果被改过，就能悄悄把收款地址换成自己的，而设备屏幕上显示的就是改后的地址，你在屏幕上核对时也对得上。所以观察端的来源要与设备官方公布的一致，版本落后一点没关系，来源可疑才是问题。