冷钱包会被盗吗：设备丢失时的 PIN 与擦除保护，助记词泄露和盲签两条真实路径

周霂· 守钥编辑组· 更新于 2026-10-19· 约 8 分钟读完

买了硬件钱包，心里还是会问一句：冷钱包会被盗吗？会，但被盗的方式和多数人想的不一样。设备被人偷走、被暴力破解的情况，厂商在硬件和固件上做了几层防护；真正常见的，是助记词被骗走，和自己在设备上点了确认。这篇以 Trezor 的官方指南为例，把这几条路分开讲。

先分清：冷钱包被盗的三条路

这一节是本站的归纳。硬件钱包里的币被转走，归根到底是有人拿到了签名的能力，或者让你替他签了名。落到具体情形，大致是三条路：

路径	怎么发生	主要靠什么挡
设备落到别人手里	被偷、丢失、被人当面拿走	PIN、错误次数上限后自动擦除、安全芯片、擦除码
助记词（钱包备份）泄露	被假客服、假网站骗走，或备份被拍照、存进网盘	备份不给任何人、不做电子副本
自己签了不该签的交易	在钓鱼网站上连接钱包，设备屏幕上看不懂就点了确认	在设备屏幕上读懂要签的内容

第一条路有硬件和固件的防护，后两条路设备基本帮不上忙。下面按这个顺序讲。

设备被偷：PIN 和错误次数上限

Trezor 的《PIN protection on Trezor devices》开头说明了 PIN 的用途：

Trezor 原文Your PIN protects your wallet from unauthorized access. It prevents anyone who physically obtains your Trezor device from using it or viewing your accounts.

本站译：PIN 保护钱包不被未经授权地访问，防止任何实际拿到你 Trezor 设备的人使用它或查看你的账户。

猜 PIN 也有次数限制。同一页写明，PIN 输错达到最大次数后，设备会恢复出厂设置、钱包被清空，之后可以用钱包备份恢复访问。最大次数各型号不同，以该页当前写的为准。对偷设备的人来说，这意味着没法一直试下去；对你来说，这意味着设备被清空后，钱还在不在，取决于你的钱包备份还在不在。恢复步骤见站内冷钱包坏了怎么办。

PIN 怎么设，指南给了几条建议：避开生日、年份和 12345 这类顺序数字；不要只靠重复数字加长度。对没有安全芯片的老型号，指南特别建议用更长、更随机的 PIN 来增强对物理攻击的抵抗力，原因见下一节。

安全芯片挡的是什么

Trezor 的《Secure Elements in Trezor Safe devices》说明，Safe 系列设备带有安全芯片（Secure Element），用来加强对物理攻击的防护。它在 PIN 上起的作用是：

Trezor 原文The Secure Element protects physical access to your private keys by securely enforcing PIN verification, without storing the PIN itself. This protects your private keys from brute-force attempts on a stolen device.

本站译：安全芯片在不存储 PIN 本身的情况下，安全地执行 PIN 验证，保护对私钥的物理访问，使私钥免受针对被盗设备的暴力破解。

PIN 保护指南也写了老型号的情况：Model T 和 Model One 没有安全芯片，PIN 直接用来加密存在设备上的私钥；这两款没有硬件层面的速率限制，所以指南建议设一个长而随机的 PIN。手里是老型号的，这一条值得照做。硬件钱包怎么挑、安全模型怎么看，见站内硬件钱包怎么挑。

擦除码：被逼交出设备时

PIN 挡得住偷设备的人，挡不住逼你当面输入 PIN 的人。Trezor 为这种情况提供了擦除码（wipe code），《Set up a wipe code to erase your Trezor》的定义是：

Trezor 原文A wipe code is a second PIN: enter it at any PIN prompt and your Trezor erases all private data, including your wallet, and resets to factory defaults.

本站译：擦除码是第二个 PIN，在任何要求输入 PIN 的地方输入它，Trezor 就会清空包括钱包在内的全部私密数据，并恢复出厂设置。

在哪设置：桌面版 Trezor Suite 的 Settings → Device，Danger Area 一栏；指南写明手机版 Trezor Suite App 没有擦除码设置，而且要先设好 PIN。
输入后会怎样：设备立即清空，没有确认步骤，也无法取消；完成后屏幕显示擦除码已输入、设备已清空。
之后怎么办：设备就像一台新机，只能用钱包备份恢复钱包。

擦除码的前提和 PIN 输错清空一样：钱包备份要安全地存在别处。备份怎么存，见助记词怎么备份；想在被逼时再多一层，可以对照passphrase 要不要用。

助记词被骗走：设备再安全也没用

上面几层都是在保护设备里的东西。钱包备份一旦落到别人手里，对方在自己的设备上就能恢复出你的钱包，你的 PIN、安全芯片和擦除码都不起作用。Trezor 的《Scams and phishing》把这一点写在最前面：拿到你的钱包备份，就能转走你的资金。

Trezor 原文The rule is simple: any request for your wallet backup, PIN, passwords, or codes is always a scam.

本站译：规则很简单，任何索要你钱包备份、PIN、密码或验证码的请求，都是诈骗。

同一页还写明：Trezor 永远不会就钱包备份联系你，也不会要你对钱包做什么操作；凡是催你验证备份之类的消息，都可以当作钓鱼。它也提醒，骗子已经在用 AI 冒充客服，不只是文字，还有语音和视频；钱包备份不要分享，也不要做电子副本。假 App、假官网怎么认，见怎么识别假钱包 App 与钓鱼；万一已经被盗，见钱包被盗了怎么办。

盲签：自己点了确认

第三条路最容易被忽略：私钥没泄露，设备也在你手里，但你在设备上确认了一笔把资产交出去的交易。Trezor 的《Clear Signing on Trezor》开门见山：

Trezor 原文Hardware wallets are designed to protect private keys, but keeping a private key safe is not the same as helping a user understand what they're about to authorize with it.

本站译：硬件钱包的设计目的是保护私钥，但保住私钥，不等于帮用户看懂自己将要授权的是什么。

指南解释了盲签（blind signing）的来由：和 dApp 交互时，电脑屏幕上显示的是好读的描述，但这一层可能被恶意软件、钓鱼或伪造的前端篡改；硬件钱包屏幕不受远程篡改，却往往只显示一串哈希或「Data Present」。最该信的屏幕上没有能核对的内容，用户只能去信那块可能被改过的屏幕。

Trezor 的做法是清晰签名（Clear Signing）：由设备自己解析交易数据，在屏幕上用直白的语言显示要执行的动作、涉及的代币和数量、目标或对方地址。指南写明，用 Trezor 和兼容 EVM 的 dApp 或智能合约交互时，它会自动生效。具体到授权和 Permit 这类签名怎么读，见站内签名请求怎么读和代币授权的风险与撤销。

本站怎么看

这一节是本站的看法。回到标题的问题：冷钱包会被盗，但多数情况下不是被「黑」进设备，而是人这一环出了问题。对照上面三条路，最值得花时间的是：PIN 设得够长、不和设备放在一起；钱包备份离线保存、不给任何人看；在设备屏幕上看不懂的交易就不确认。本文以 Trezor 的说明为例，其他品牌的错误次数、安全芯片和签名显示方式各不相同，以各自官方页面为准。

常见疑问