硬件钱包漏洞公告后该怎么处置？

硬件钱包被披露存在漏洞后，最危险的时刻不只来自漏洞本身，也来自恐慌操作。攻击者会伪造补丁、客服和迁移网站，诱导用户把助记词输入联网设备。正确响应必须先确认受影响范围，再决定暂停签名、升级固件、迁移资产还是更换整套种子。

事故开始后的前十五分钟

先暂停不必要的大额签名，不点击社交媒体私信中的链接，不卸载钱包软件，也不要格式化或丢弃原设备。记录设备型号、当前固件、购买渠道、种子生成时间和最后一次正常签名时间。若设备仍保存取证价值，应断开网络与不必要连接并妥善保管。

Kraken的协调披露政策把厂商确认、修复期限、补丁或变通方案与公开披露分开，说明“已披露”不等于“所有型号都必须立即丢弃”。协调披露把发现、厂商确认、修复和公开说明分成阶段。看到“研究人员报告漏洞”时，应查厂商是否确认、哪些型号受影响、是否已有补丁和是否提供变通方案。仅凭严重等级或一条媒体标题，无法决定每个用户都要采取同一动作。

决策树的四个分叉

第一问是型号与固件是否明确在影响列表；第二问是当前助记词是否由受影响环境生成；第三问是补丁解决签名流程还是随机数、密钥生成等根问题；第四问是备份是否已独立验证可恢复。

条件	优先动作	不能省略
型号不明	暂停高风险操作并核对官方公告	不从群聊下载固件
仅签名显示缺陷	按官方步骤升级并加强逐项核对	升级后小额测试
种子生成可能受影响	在可信新环境生成新种子并迁移	不能只把旧种子导入新设备
备份状态不明	先在隔离环境验证恢复方案	不在主钱包上反复试错

“换新设备”不一定解决旧秘密的问题。若漏洞影响种子熵或密钥生成，旧助记词导入再昂贵的新设备，风险仍可能保留。相反，若问题只影响某个界面或传输路径，经过验证的固件更新与操作补偿可能足够。

固件核验比点击更新更重要

COLDCARD官方版本历史按型号和版本列出功能、安全修复与升级说明，核对受影响范围应以厂商版本记录为起点。官方版本历史是核对型号、版本与修复说明的起点。下载必须从厂商官方域名或设备内可信更新通道进行；如厂商提供签名或哈希，应在独立环境验证。更新前确认备份，更新后重新核对版本、收款地址和一笔小额签名。

不要让所谓客服远程控制电脑，也不要把固件文件从聊天群转存。搜索广告可能把假网站排到页面顶部，域名只差一个字符。最稳妥的方法是使用之前保存并已验证的官方入口，再从官网导航到公告与下载页。

种子迁移要按顺序完成

若官方建议迁移，先在可信的新设备或经过审查的隔离方案中生成全新种子，离线记录备份并验证恢复；随后在新设备屏幕核对收款地址，先转入小额，等待确认并做一次受控转出；确认新环境完整可用后，再分批迁移其余资产。

旧设备只负责签署转出，不应把旧助记词输入联网电脑。所有资产迁移完成后，继续监控旧地址，保存交易哈希和时间。是否销毁旧设备要等待厂商和调查机构说明；如果公告建议保留设备用于取证，不要提前处置。

不同型号不能相互外推

COLDCARD官方FAQ说明不同型号采用的安全元件和功能并不完全相同，因此不能把一个型号或版本的结论外推到全部设备。同一品牌的不同代际可能使用不同安全元件、处理器和固件路径。某型号受影响，不证明全部型号都受影响；某型号未列入，也不等于它获得了无限期安全保证。结论必须写成“截至某日、针对某型号与版本”。

团队钱包还要检查多签结构：若一个签名器种子可能受影响，应评估更换密钥、更新描述符和重建阈值配置。不能临时启动同一密钥的第二个在线实例，这可能扩大泄露面；涉及验证者或有斜罚风险的签名系统更需遵守专用迁移程序。

证据包应包含什么

保存官方公告PDF或网页快照、固件版本照片、设备序列的脱敏记录、购买凭证、已知地址、异常交易和迁移TxID。对外提交时只给调查所需材料，绝不提供私钥、PIN或完整助记词。

本文只提供防御性响应框架。若已发现未授权转账，立刻联系厂商官方支持、交易服务商和当地执法机构；所谓“付费追回”通常无法逆转已确认链上交易，还可能造成二次诈骗。

先保护秘密，再修复设备

应急目标是让助记词不离开可信环境、让新地址经过独立核对、让每次迁移都有链上凭证。任何要求输入恢复短语来“检测漏洞”的网页，都应立即关闭。