security model

安全不是一句口号，而是一组可检查的边界。

从私钥离线保存、物理按键确认、助记词备份到交易签名流程，理解每个边界，才能在真实使用中减少风险。

security layers

硬件钱包更安全，来自多个安全层配合。

安全不是某一个按钮，而是私钥、设备屏幕、用户确认、备份和下载来源共同形成的使用模型。

私钥尽量留在硬件设备中，不暴露给网页、浏览器插件或普通电脑剪贴板。

交易需要在设备端核对关键信息，降低远程恶意页面直接完成转账的可能。

设备损坏或丢失时，助记词是恢复访问权的关键，因此必须离线保存。

下载和更新前核对来源，避免假应用、假客服链接和陌生二维码。

signing flow

理解签名流程后，用户就会知道为什么不能在陌生网页输入助记词，也不会把设备确认当成无脑点击。

电脑或手机应用生成待签名交易，但不应索要助记词。

设备屏幕显示地址、金额、网络或授权信息。

确认前核对细节，看不懂就取消。

签名后的交易被发送到网络，私钥不应离开设备。

风险通常来自假下载链接、假客服、钓鱼网站、远程控制、恶意浏览器插件、陌生签名请求和无限授权。遇到不确定页面时，不要急着连接钱包或确认交易，先核对来源和请求内容。

如果网站、客服或工具声称需要你输入助记词才能“验证资产”“恢复权限”“解除冻结”，都应视为高风险。硬件钱包的正常帮助流程不会要求你提交这些信息。

firmware and app

应用下载与固件更新前，先确认来源、域名、发布说明和设备提示。不要通过陌生二维码、广告落地页、网盘安装包或客服私发文件安装。

next step

每次下载、更新、签名、备份，都按同一套边界执行。