第一次用手机连蓝牙款硬件钱包的人，多半会在配对那一步停住：设备屏幕和手机屏幕各自跳出一串数字，App 让你确认”两边是否一致”。这步看着像走形式，实际是整条无线链路里唯一需要人眼参与的安全校验。它到底在防什么，值得说清楚。
先明确：无线链路搬的是公开信息
硬件钱包的设计前提是不信任联网的那一侧。交易在手机或电脑的应用里被组装成待签的字节，再通过蓝牙或数据线送进设备，设备在安全芯片里签名，只把签名结果送回。也就是说，无线通道上传输的是待签内容、公钥和地址这类公开或半公开信息；私钥和助记词不进无线协议栈，也不离开安全芯片。Ledger 对其蓝牙实现的说明就是这个口径：即使蓝牙链路本身被攻破，攻击者也拿不到私钥、更不能替你签一笔你不想签的交易。日常用数据线连接时的行为与此一致，区别只在传输介质。
那还剩下什么风险？剩的是”接错人”和”看不到真相”两类。前者是配对时被人插进来冒充对端，后者是联网那侧的软件把屏幕该显示的内容改了。比对码只解决前者，后者靠设备屏幕自己决定。
配对码防的是中间人
蓝牙配对分两个阶段：先交换双方各自的临时密钥对，再建立加密通道。风险点在第一个阶段——如果此刻有个第三方在你和钱包之间转发消息，两边会以为在跟彼此说话，而它其实两头都在听、还能插入指令。这类攻击要求攻击者当场同时和一个可疑设备以及你的手机建立配对，物理上必须离得很近，是针对性攻击而非撒网式扫描。
规范给的对策叫数值比较：双方在配对阶段各自显示一个由双方公钥和随机数算出的校验值，由人眼确认两边一致，才继续。因为计算里带上了双方的公开材料和随机数，中途插进来的第三方算不出让两边都一致的同一个值。所以正确动作非常具体：手机显示的串和设备显示的串必须逐位相同；只要有任何一位不同、或者只有一边显示而另一边什么都不显示，就当场取消配对，先在手机蓝牙设置里忘掉这个设备，再重新开始。配对建立后的通道才是带加密的。
两种特殊情况要单独认
第一种，某些较旧的安卓版本上，配对可能不显示比对码。这种情况下安全芯片会给出提示。此时你能做的稳妥选择有两个：改数据线连接完成敏感操作，或者换到能显示比对码的系统环境配对。不要在提示”降级”的状态下顺手点通过。
第二种，是连接路径本身的问题而不是安全问题。例如桌面端与手机端配对状态混淆、在手机上重新配对但没有先在系统蓝牙里忘掉旧条目、或者 App 与设备固件版本不同步，都会造成一连串”连不上”。这类排查的顺序是：先看数据线能不能连（能连就排除了设备本身问题），再清理手机蓝牙已保存设备，最后核对 App 与固件版本。硬件钱包连不上电脑时的逐层排查思路可以复用，见 硬件钱包连不上电脑？沿物理连接、驱动通道到浏览器权限逐层排查。如果这台设备是新到手的，先用 硬件钱包到手先做哪几件事？开箱、初始状态与真伪核验 的开箱与初始状态核验把来源确认完，再谈配对。
无线用不用，取决于你的分工习惯
几点实操取向值得说在前面。第一，大额与长期不动的资产更适合让设备主要走数据线，把无线当成出门应急；两家厂商都保留了随时关闭无线开关的路径，关掉后仍能数据线使用。第二，配对只在配对那一步需要人眼核对；之后的每一笔交易，真正的关卡仍然是设备屏幕上的金额、收款地址和链标识——设备显示什么就是什么，即使手机屏幕被恶意软件改了，确认时看到的仍是设备自己的显示。第三，无线会带来一点隐私暴露面：连接中传输的公钥与地址属于公开信息，但你的配对记录会被手机保存，处理旧手机时别漏掉这一层。
总结成一句纪律：比对码不同就停，降级提示就换路，任何一笔签名都要在设备屏幕上核对完再按确认。涉及资产的操作都有真实风险，本文只提供连接与核验的防御性做法，不构成投资建议，也不涉及任何收益判断。
发表评论
还没有评论，来说两句吧。
评论区为展示样式，提交不会被处理。