选择硬件钱包，与其说是在寻找一个“通杀”的冠军，不如说是在为你自己的安全需求、资产组合结构和技术熟练度，匹配一台合适的设备。
在安全架构、币种支持、易用性和历史表现等方面对 13 款主流设备进行对比后，一个最清晰的结论是：没有任何一款钱包在所有方面都做到最好。因此，比起品牌名字，下面这 10 个因素应该在决策中占据更核心的位置。
TL;DR：
- 硬件钱包从 55 美元的 NFC 卡到 500 美元的隔离设备都有，但性价比最高的通常集中在 79–169 美元区间，在这里开源固件、安全芯片和设备端验证三者相对兼得。
- 开源透明度、安全芯片认证以及防外泄签名协议，比“支持币种数量”或“屏幕大小”等表面参数更重要。
- 专业意见越来越倾向于使用来自不同厂商的多签方案，而不是无条件依赖任何一款单一钱包（无论品牌如何）。
币种支持的数字容易误导
各厂商宣称支持的加密货币数量差异巨大。Tangem 以超过 16,000 种资产、覆盖 85+ 条区块链网络领跑。Ledger 设备大约支持 15,000+，Trezor 覆盖 8,000+。Keystone 3 Pro 约支持 5,500 种资产、覆盖 200+ 条链，而 BitBox02 Multi 版本大约支持 1,500 种，但明显缺少 Solana (SOL) 和 XRP (XRP) 支持。
另一端，Coldcard Mk4 和 Q 型号则只支持 Bitcoin (BTC)。
这是刻意为之，用以尽量缩小攻击面。BitBox02 的比特币专用版采用同样思路，硬件完全相同，只是固件被限制为仅支持比特币。Trezor Safe 3 与 Keystone 3 Pro 都提供可切换的 Bitcoin-only 固件模式，适合既想目前使用山寨币、又可能未来改为只用比特币的用户。
NGRAVE ZERO 则是一个比较特殊的案例。虽然价格接近 398 美元，它原生只支持约 15 种加密货币——包括 BTC、Ether (ETH)、SOL、Litecoin (LTC)、XRP 等少数币种——外加 ERC‑20 代币。没有原生 Cardano (ADA)、Polkadot (DOT) 或 Cosmos (ATOM) 支持。GridPlus Lattice1 则主要聚焦 Ethereum 与 EVM 链，同时支持比特币，但明显是 DeFi 中心化的设计取向。
对多链资产组合来说，Ledger 和 Tangem 的覆盖面最广。对于以比特币为核心的安全需求，Coldcard 和 BitBox02 Bitcoin-only 则是专门为此打造。支持币种越多的钱包并不天然“更好”。每多接入一条链，就意味着多一份可能存在漏洞的代码。
延伸阅读： Ethereum Clears $2,145 Bearish Trend Line
备份与恢复决定你的安全兜底
几乎所有硬件钱包在初始化时都会生成一组 BIP‑39 助记词。Ledger、Coldcard、BitBox02 和 GridPlus 默认 24 个单词。Trezor 默认 12 个，但支持 12、20 或 24 个词。
这组助记词就是主密钥——谁拿到它，谁就控制资金；一旦遗失，就再也无法找回资金。
Shamir 备份（正式标准名为 SLIP‑39）则是将种子拆分成多个份额，需要达到某个“门限数量”才能重建钱包。比如 3‑of‑5 方案意味着 5 份里任意 3 份即可恢复钱包，但仅有 2 份则无法恢复。
Trezor 是该标准的开创者，目前所有型号——Safe 3、Safe 5、Safe 7——都原生支持。Keystone 3 Pro 也支持此方案。
Shamir 备份消除了传统单份助记词天生存在的“单点故障”。不过需要注意的是，SLIP‑39 份额使用的词表与 BIP‑39 不同，因此在找回时不能直接在标准钱包间互通。
Coldcard 则走了另一条路线——Seed XOR，它可以将一组 24 词种子拆分为 2–4 份，每一份看起来都像是一组完全有效的 BIP‑39 助记词。每一份甚至都可以单独存放“诱饵资金”。Coldcard 也支持 BIP‑85 来派生子种子，BitBox02 同样支持这一标准。BitBox02 自身还提供在初始化时自动加密备份到 microSD 卡的功能，用户完全不用手写助记词。
Tangem 则彻底打破常规。其默认的“无助记词”模式下，私钥在卡片内的 Samsung 安全芯片中生成，从不会展示给用户。备份是在初始化时，通过加密的 NFC 复制，将私钥克隆到 1–2 张额外卡片上完成。
这带来的取舍非常极端：如果所有卡片同时遗失或毁坏，资金将永久消失。Tangem 之后增加了可选的 BIP‑39 助记词生成功能作为“逃生舱”，但“无助记词”仍是它最具代表性的特性。
NGRAVE 则采用了专有的 64 位十六进制密钥，并备份到名为 GRAPHENE 的不锈钢板系统上。它由两块钢板组成，任意一块单独都无法还原密钥。上层钢板包含一组独特的随机字符排布，下层钢板通过打孔记录信息，只有将两块钢板叠加时，密钥才会被解码出来。
密码短语（passphrase）——有时被称为“第 25 个单词”——可以再加一层安全防护。即便他人拿到了助记词，如果没有这句密码短语，也无法访问资金。
目前除 Tangem 与 GridPlus Lattice1（其采用 SafeCards 机制）外，几乎所有主流钱包都支持密码短语。对 Trezor 用户而言，密码短语也是防御 Kraken Security Labs 展示过的电压故障攻击的核心手段。
金属助记词备份依然是对抗火灾、洪水与腐蚀等极端情况的关键工具。像 Cryptotag Zeus、Cryptosteel Capsule 和 Billfodl 等产品，都可以承受极端温度和高强度物理损伤。
延伸阅读： 21Shares Bets On Active Management
开源透明度把钱包划分成不同“信任等级”
“开源 vs 闭源”的争论绝非纸上谈兵，它直接决定独立研究者能否验证：钱包的代码究竟是不是完全按照厂商宣称的那样运行，且没有做额外的事。
在这方面，Trezor 是公认的“金标准”。固件、硬件电路图以及 Trezor Suite 桌面/移动端应用全部完全开源，托管在 GitHub 上。
Trezor Safe 7 更进一步，首次在面向大众的硬件钱包中加入了开源安全芯片 TROPIC01。该芯片由 SatoshiLabs 的衍生公司 Tropic Square 开发。社区成员可以从源代码自行编译固件，并验证其与设备中实际运行的二进制程序完全一致。
BitBox02 在透明度上可与 Trezor 媲美。固件、硬件电路图以及 BitBoxApp 均为开源，并采用可复现构建，由 WalletScrutiny 进行验证。
其固件已通过 Census Labs 的独立安全审计。Coldcard 则公布固件源代码，并提供可复现的 Docker 构建环境，不过其完整硬件电路并未公开。自 2022 年起，Coldcard 的开源协议中加入了限制条款，不允许其代码被用于商业用途。
Ledger 则走了完全相反的道路。其 BOLOS 操作系统——也就是在安全芯片上运行、负责密钥生成、存储与签名的核心代码——是闭源的。
Ledger 认为安全芯片供应商的保密协议（NDA）禁止开源这些内容，同时认为由独立实验室发布的 CC EAL5+ 与 EAL6+ 认证，已经提供了足够的安全保证。Ledger Live 这一配套应用是开源的。Ledger 还运营着名为 Donjon 的内部白帽安全实验室，专门研究包括竞争对手产品在内的各种安全漏洞。
Tangem 的固件同样是闭源，且有一个独特之处：出厂时一次性烧录，后续无法升级，是单体固件模型。它的移动端配套应用则是开源的。NGRAVE 将固件描述为“源代码可阅”（source-available），即可以查看但不完全符合严格意义上的开源标准。
GridPlus 在 Ledger Recover 争议事件之后，宣布计划于 2023 年中开源其固件，目前其 SDK 已经开源。
这在实践中为什么重要？2024 年 8 月 Dark Skippy 漏洞披露后，人们发现：只需通过两笔签名交易，恶意固件就有可能完整导出种子助记词。从那一刻开始，“能否审计固件代码”从加分项变成了“必选项”。
延伸阅读： Robinhood Drops 39% In 2026
屏幕是安全组件，不是装饰品
在安全芯片之后，硬件钱包上最重要的安全组件就是屏幕。如果没有一个“可信显示设备”，你就无法确认一笔交易的真实内容。这类问题被称为“盲签”，仅在 2024 年，就有大量钱包被盗事件是通过盲签钓鱼脚本完成的。 exploiting 盲签批准让用户损失了将近 5 亿美元。
屏幕质量差异巨大。GridPlus Lattice1 features 一块 5.0 英寸彩色 TFT 触摸屏，可以显示完整交易，包括经过 ABI 解码的智能合约数据，并以易于人类阅读的形式呈现。
Keystone 3 Pro 和 NGRAVE ZERO 都配备了 4.0 英寸彩色 LCD 触摸屏，并带有指纹传感器。
Ledger Stax 采用 3.7 英寸弧形 E-Ink 触摸屏，由安全元件直接驱动，这意味着连接设备上的恶意软件无法篡改屏幕内容。
Coldcard Q upgraded 到 3.2 英寸彩色 LCD，并配有 QWERTY 键盘，相比 Mk4 的小屏幕有了巨大提升。
Trezor Safe 5 配备 1.54 英寸彩色触摸屏，使用大猩猩玻璃 3 并带有振动反馈。Ledger Nano X、Nano S Plus、Trezor Safe 3、Coldcard Mk4 和 BitBox02 都使用 0.80 至 1.38 英寸之间的小型单色 OLED 屏幕，通过按键或触摸传感器进行操作。
Tangem 完全没有屏幕。所有验证都依赖智能手机应用，这在根本上把信任前提建立在手机之上。
“所见即所签”（What You See Is What You Sign）的原则要求显示内容必须由安全签名芯片驱动，而不是由连接的电脑驱动。像 Keystone 和 NGRAVE 这样的“空气隔离”钱包则完全绕开了这一问题，只通过二维码进行通信。
用户先扫描一笔未签名交易，在设备屏幕上审阅并确认，然后设备再显示一个已签名的二维码供用户扫描回去。
Also Read: Tether Picks A Big Four Firm
移动端兼容性取决于连接方式
硬件钱包如何连接到设备，决定了它可以在何处以及如何使用。整体格局可以分成几个类别，其差异更多是实用层面的，而非外观层面的。
支持蓝牙的钱包提供最顺畅的移动端体验。
Ledger Nano X、Stax 和 Flex 都可以 connect 通过蓝牙无线连接到 iOS 和 Android 上的 Ledger Live 应用。
最新的 Trezor Safe 7 于 2025 年底发布，是首款带蓝牙的 Trezor，终于实现了完整的 iOS 兼容性。蓝牙带来了便利，也扩大了无线攻击面，不过当前所有实现都使用加密配对。
以 NFC 为核心的钱包主要就是 Tangem，它 requires 必须配合一台支持 NFC 的智能手机才能工作。它是最偏向移动端的硬件钱包，完全不支持桌面端。Ledger Stax 和 Flex 也内置了 NFC，但更多用于身份验证和恢复流程，而不是日常的交易签名。Coldcard Mk4 和 Q 支持 NFC‑V，可通过“轻触”方式将部分签名的比特币交易发送到手机，不过 NFC 默认关闭，并且可以通过切断电路板上的连线永久禁用。
二维码钱包则在没有任何电子连接的情况下实现了移动端兼容性。
Keystone 3 Pro 值得一提，它是唯一与 MetaMask Mobile 完全 compatibility 兼容的硬件钱包，通过手机摄像头与设备内置摄像头之间的二维码进行交互。NGRAVE ZERO 完全通过其 LIQUID 应用配合二维码工作。Coldcard Q 还新增了带补光灯的专用二维码扫描器。
仅支持 USB 的钱包在移动端的使用受到限制。Trezor Safe 3 和 Safe 5 可通过 USB‑C 在 Android 上 work 完整使用，但在 iOS 上只能提供“只读模式”。Ledger Nano S Plus 可以通过 USB‑C OTG 连接 Android，但不支持 iOS。BitBox02 通过 USB‑C 支持 Android，而更新的 BitBox02 Nova 额外加入了对 Apple MFi 的支持，从而兼容 iOS。
GridPlus Lattice1 则完全不同。它是一款始终在线的桌面设备，通过 WiFi 或以太网 connected 连接，并通过网页界面管理。它没有移动端应用，也不便携。
Also Read: Binance Now Lets You Trade Meta, NVIDIA, And Google Stocks 24/7
安全元件防御物理密钥提取
安全元件是一种防篡改芯片，用于存储密码学机密，并抵御包括电压故障注入、激光探测和去封装在内的物理攻击。
这类芯片与信用卡和护照中 used 的芯片相同，按照 Common Criteria EAL 等级进行认证。
Ledger 将其整个 BOLOS 操作系统直接运行在安全元件上。Nano X 使用的是 EAL5+ 级别的 ST33J2M0 芯片，而 Nano S Plus、Stax 和 Flex 则都采用了更新的 EAL6+ 级别 ST33K1M5。所有密钥生成、存储和交易签名都在芯片内部完成。这是 Ledger 在架构上的核心优势。
Trezor Safe 3 和 Safe 5 在经历多年因旧款缺乏针对故障注入攻击的硬件防护而受到批评后，added 了 Infineon 的 EAL6+ 级 OPTIGA Trust M。不过，这些型号中的安全元件主要用于执行 PIN 保护和设备认证，而交易签名仍然在通用 MCU 上进行。
Trezor Safe 7 通过“双安全元件”解决了这一点——既使用 OPTIGA Trust M，又引入了开源的 TROPIC01 芯片。
Coldcard Mk4 和 Q use 来自不同厂商的双安全元件——Microchip ATECC608B 与 Maxim DS28C36B——再加上一颗 STM32 MCU。
助记词被拆分存储在这三颗芯片之中。
要想攻破资金，就必须在三家不同公司的芯片中都存在后门。Keystone 3 Pro 更进一步，采用三重安全元件，再配合 PCI 级防拆机制，一旦设备被物理打开就会 wipe 擦除数据。
BitBox02 uses 在一个双芯片架构中使用 Microchip ATECC608B 搭配其开源 MCU。必须组合三个独立的机密才能访问钱包。
Tangem 依赖一颗 EAL6+ 级别的三星 S3D350A 芯片，所有签名都在芯片内部完成，密钥从不离开安全元件。
NGRAVE ZERO claims 声称获得了最高的 EAL7 认证，但这实际上特指运行在设备上的 ProvenCore 可信执行环境操作系统，而非安全元件芯片本身。这一点十分关键，却在一些营销材料中被有意无意地模糊掉了。
为什么旧款 Trezor 会放弃使用安全元件？
Trezor prioritized 把完全开源透明放在首位。传统安全元件被厂商的保密协议（NDA）封锁，无法对其代码进行公开审计。
这与 Trezor 的理念相冲突。OPTIGA Trust M 之所以被选中，就是因为它不需要 NDA，使得 Trezor 可以在坚持开源承诺的同时引入硬件防护。
Also Read: Bernstein Calls Bitcoin Bottom, Sees 226% Upside for Strategy
固件记录体现真实世界的抗打击能力
钱包的安全性取决于其最新固件的强度。更新频率、对漏洞的响应速度以及过往事件记录，比纸面规格更重要。
Ledger 每年通过 Ledger Donjon 安全团队和 Ledger Live 应用 releases 推出数次固件更新，且均经加密签名。
设备会拒绝未签名的代码。该公司历史上有几起值得注意的事件。
2020 年 6 月，一把配置错误的电商 API 密钥导致数据泄露，暴露了 110 万个邮箱地址和 27.2 万条完整客户记录。虽然这并非设备被攻破，但却助长了针对客户的钓鱼和现实世界威胁。
2026 年 1 月，通过支付处理方 Global‑e 的一次入侵再次 exposed 了一批客户姓名和联系方式。
2023 年 12 月的 Connect Kit 攻击则是针对 Ledger dApp JavaScript 库的供应链入侵。恶意代码在被修复前大约 40 分钟内从用户那里盗走了约 60 万美元。
Trezor 通过 Trezor Suite maintains 持续进行开源开发与固件更新。2020 年 1 月，Kraken 安全实验室演示了如何通过电压故障注入，在大约 15 分钟的物理接触和约 75 美元设备成本下，从 Trezor One 和 Model T 提取助记词。2025 年 3 月，Ledger Donjon 显示，即便是更新的 Trezor Safe 3 和 Safe 5，也可以通过故障注入手段替换其 MCU 固件。
Trezor 已经 patched 修补了这些漏洞，但也承认其底层架构存在先天局限。
Tangem 则 presents 出一个独特的两难：其固件被有意设计为不可更新，这从一方面防止了恶意代码注入，但也意味着一旦发现漏洞就无法修补。2025 年 9 月，Ledger Donjon 展示了一种利用“撕裂”技术绕过安全延时的暴力破解漏洞。Tangem 对此提出异议，但无论如何都不可能对此进行修复。
2024 年 8 月披露的 Dark Skippy 攻击 disclosed 表明，只需通过两笔交易签名，任何硬件钱包上被植入的恶意固件就可以提取完整助记词，其方式是通过…操纵签名随机数（nonce）。
在披露时，只有 BitBox02 和 Blockstream Jade 实现了反外泄（anti-exfiltration）签名协议。BitBox02 在这类攻击被公开描述前的三年就已实现该功能。Bitcoin Core 开发者 Matt Corallo 称，没有反外泄防护的钱包在根本上是不足格的。
延伸阅读： Tether Signs Big Four Firm For First Full Audit
价格区间在 55 美元到 500 美元，高端段位性价比递减
硬件钱包市场从预算型 NFC 卡到高端全隔离（air-gapped）设备一应俱全，主流价位明显集中在 79 至 169 美元区间，对大多数用户来说这里的性价比最高。
Tangem 三卡套装约 70 美元，是支持币种最广的廉价硬件钱包，但缺少屏幕是一个重大的安全妥协。Ledger Nano S Plus 和 Trezor Safe 3 都定价在 79 美元 —— 这是入门级安全（含完整设备端验证）的甜蜜点。随着更新款 Ledger 发布，Nano X 价格已降至约 99 美元。
在中端价位，BitBox02 约 149 美元，提供了开源透明性、包括 Tor 与自建全节点支持在内的隐私特性，以及操作上的简洁性。
Keystone 3 Pro 价格在 129 至 149 美元之间，配备大尺寸触控屏幕和完全隔离的离线操作，在同级别中颇具竞争力。Trezor Safe 5 定价 169 美元，增加了彩色触觉触控屏和 Shamir 备份。Coldcard Mk4 约 178 美元，是比特币极致安全路线的入门门槛。
在高端价位段，Ledger Flex 与 Coldcard Q 都定价 249 美元，分别提供电子墨水安全显示和全隔离的比特币签名。Trezor Safe 7 同样定价 249 美元，带有蓝牙和双安全芯片。
GridPlus Lattice1 价格 397 美元，NGRAVE ZERO 约 398 美元，Ledger Stax 为 399 美元，均位于价格上限区间。搭配 GRAPHENE 备份板的 NGRAVE ZERO 价格可达约 498 美元。
整体来看，中端产品在价格与价值上的比率最具优势。售价 79 美元的 Trezor Safe 3 提供安全芯片、Shamir 备份、开源固件以及超过 8,000 种币的支持。即便多花五倍的钱，主要也只是换来更好的屏幕与物理隔离方式，而在密钥生成与存储这类基础密码学安全层面，差异并不显著。
延伸阅读： SIREN Loses 70% After Investigators Flag Wallet Cluster With Half Of Supply
品牌过往记录好坏不一
Ledger 于 2014 年在巴黎成立，已售出超过 750 万台设备，自称拥有市场中最大的装机量。公司累计融资 5.75 亿美元，在 2023 年 C 轮时估值达 13 亿美元。
尽管市占率领先，Ledger 的声誉接连受到打击：包括 2020 年的数据泄露、Ledger Recover 风波、Connect Kit 供应链攻击以及 2026 年 Global-e 泄露事件。CEO Pascal Gauthier 一直坚持表示，这些事件中设备本身的安全从未被攻破，这在技术上是准确的。
Trezor 由 SatoshiLabs 创建，并于 2013 年在布拉格成立，在 2014 年 7 月推出了全球第一款硬件钱包。
SatoshiLabs 发明或共同发明了助记词标准 BIP-39、分层钱包标准 BIP-44，以及用于 Shamir 备份的 SLIP-39。
这些都是整个行业广泛采用的基础标准。
Trezor 的开源代码库为超过 10 个其他硬件钱包品牌提供了技术底座。
该公司从未发生过重大数据泄露事件，并在 90 天后对所有购买数据进行匿名化处理。
Coinkite 是 Coldcard 背后的公司，于 2013 年在多伦多由 Rodolfo Novak 和 Peter Gray创立。在面临监管挑战后，公司从比特币交易平台转型到硬件业务。Coldcard 目前没有已知的安全漏洞或重大安全事件，在比特币圈普遍被认为是最安全的钱包之一。
Shift Crypto 是 BitBox 背后公司，于 2015 年在苏黎世由 Douglas Bakkum 和 Jonas Schnelli创立，产品在瑞士设计与制造。BitBox02 在 Dark Skippy 攻击被公开披露前三年，就率先实现了反外泄签名机制。
Keystone 最初在 2018 年以 Cobo Vault 名义推出，并在 2021 年更名为 Keystone，目前总部位于新加坡。
它是首个将安全芯片固件开源的项目。NGRAVE 于 2018 年在比利时成立，其安全架构与 IMEC 和 COSIC 合作开发，并由在 Satoshi Nakamoto 比特币白皮书中被引用的密码学家 Jean-Jacques Quisquater 担任顾问。Tangem 于 2017 年在瑞士楚格创立，已售出超过 600 万个钱包。GridPlus 则于 2017 年在美国得州奥斯汀成立，通过 ICO 融资 3,220 万美元，并从能源交易业务转型到 Lattice1 硬件钱包。
延伸阅读： Bitget Launches First MotoGP Event In South America With 120K USDT Prize Pool
新手与进阶用户需要完全不同的设备
上手难度跨度极大：Tangem 的设置时间大约只需两分钟 —— 下载应用、贴卡、设 PIN 即可；而 Coldcard 的配置可能需要一到两个小时，包括双重 PIN 系统、防钓鱼词、封袋编号核对，以及与 Sparrow 或 Electrum 等第三方软件配对。两者体验差距巨大，合适的选择在很大程度上取决于用户的技术背景。
对初学者而言，最被推荐的是 79 美元的 Trezor Safe 3，它拥有清晰的引导式设置流程、开源固件和安全芯片。
约 99 美元的 Ledger Nano X 则提供 蓝牙移动连接能力，并通过 Ledger Live 拥有最大的生态系统。
约 149 美元的 BitBox02 因自动 microSD 备份功能而被赞为简洁易用。
Tangem 的设置最为简单，但其无屏设计和默认无助记词（seedless-by-default）的方案，带来了初学者可能难以完全理解的风险。
对于高级比特币用户，Coldcard Mk4 和 Q 提供了无可匹敌的功能集，包括：
- 可打开诱饵钱包的胁迫 PIN（duress PIN）
- 一次性摧毁设备的 Brick Me PIN
- 带自定义动作的“陷阱”PIN
- 为合理否认性设计的计算器登录模式
- Seed XOR 种子拆分
- BIP-85 派生子种子
- 通过 microSD、二维码或 NFC 实现完全隔离操作
这些功能假定用户具备相当的比特币知识，并且熟悉第三方钱包软件。
对于 DeFi 重度用户，GridPlus Lattice1 借助 5 英寸大屏与 ABI 解码的人类可读交易展示，为智能合约签名提供了最佳体验。Keystone 3 Pro 则通过与 MetaMask Mobile 集成以及解析后的 DeFi 交易展示，在这一场景中同样表现突出。
各钱包的关键高级功能概览：
- 多重签名（Multisig）：Coldcard 体验最佳（支持最多 15 个共同签名人，并有 Coldcard 设备端协调器）；Trezor、Bitcoin Magazine Ledger、BitBox02 和 Keystone 也可通过 Sparrow、Electrum、Nunchuk、Casa 或 Unchained 提供良好支持
- UTXO 管理（币控 Coin control）：Trezor Suite 与 BitBoxApp 原生支持；通过 Sparrow，Coldcard、Ledger 和 Keystone 也可以使用 BitBox 的相关能力
- Tor 支持：Trezor Suite 和 BitBoxApp 内置；Coldcard 与 Keystone 可通过 Sparrow 使用 Tor。Ledger Live、NGRAVE LIQUID 和 Tangem 不支持
- CoinJoin：Trezor Suite 直接集成了 CoinJoin；Coldcard 和 BitBox02 可通过 Wasabi Wallet 实现
- 胁迫 / 合理否认：Coldcard 在这方面独树一帜，提供多种类型的胁迫 PIN；其他设备通常只提供基于附加密码（passphrase）的隐藏钱包
Multisig 在 Coldcard 上体验最佳，它支持最多 15 个共同签名人并带有设备端协调器。Trezor、Ledger、BitBox02 和 Keystone 都可通过 Sparrow、Electrum、Nunchuk、Casa 或 Unchained支持多重签名。
Tor 支持方面，Trezor Suite 与 BitBoxApp 内置该功能，Coldcard 与 Keystone 则可通过 Sparrow 使用。Ledger Live、NGRAVE LIQUID 和 Tangem 不支持 Tor。
Casa 与 Unchained 等服务，会将多重签名中的大部分复杂性抽象掉，使希望提升安全性但不具备深度技术能力的用户也能轻松使用。
延伸阅读： Can Bitcoin Outperform Gold After Correlation Hits 3-Year Low?
全隔离与连接式钱包是真正的安全抉择
全隔离（air-gapped）钱包在正常使用过程中，从不与任何联网设备直接进行电子连接。
数据传输是通过物理上分离的通道完成的 —— 比如二维码或 microSD 卡 —— 在签名设备与在线世界之间形成真正的“空气隔离层”。
完全隔离的设备包括 Keystone 3 Pro 和 NGRAVE ZERO，它们仅通过二维码传输数据。Coldcard Mk4 和 Q 则可以通过 microSD 以及二维码或 NFC 完成全隔离操作，同时也提供 USB 接口。用户可以通过切断电路板上的相关走线，永久性地禁用 USB 和 NFC。全隔离能消除整个类别的攻击向量，包括 USB 协议栈漏洞、蓝牙漏洞、恶意数据线，以及驱动层的攻陷。
二维码具有可光学检查的特性 —— 安全研究人员甚至是足够细心的普通用户，都可以对其中的数据进行验证。>权衡是真实存在的。隔离（air-gapped）签名会增加使用摩擦，因为每一笔交易都需要多次扫码二维码或通过 microSD 卡来回拷贝数据。
复杂的 DeFi 交互，如果需要多次授权，会变得很繁琐。固件更新也必须先下载到另一台设备，再导入钱包。
通过 USB 连接的钱包 —— Ledger Nano S Plus、Trezor Safe 3 和 Safe 5、BitBox02 —— 则通过从不在 USB 总线上暴露密钥的安全芯片、设备端的确认屏幕、加密的 USB 通信，以及对固件签名的强制校验等机制来弥补这方面的不足。
对大多数用户和大多数威胁模型来说，一款带有认证安全芯片的 USB 连接钱包已经能提供非常出色的安全性。隔离带来的额外安全收益，主要体现在大额资产或极具对抗性的环境中。
来自 Casa 的 Jameson Lopp、Unchained Capital 以及独立安全研究人员的专家共识，正越来越多地倾向于使用来自不同厂商设备组成的多重签名（multisig）方案，而不是依赖任何单一硬件钱包——无论它自称多安全。最重要的安全特性，归根结底是人的行为：在设备上核对收款地址、只从官方渠道购买、绝不分享助记词，并且要明白，在任何硬件钱包体系中，最薄弱的环节永远是那个使用它的人。