※ 引述《ULTIMA1002 (晚點再說)》之銘言：
: 如題
: 個人不是學資訊相關的，
: 只是覺得不少在賣冷錢包的廠商，
: 本身的信譽有辦法被驗證嗎？
: 冷錢包裡面如果預先暗藏什麼木馬還是病毒的，
: 等到哪天時機對了再一次收割？
: 有沒有這種風險？
: 當然冷錢包只有用到的時候才會連網，
: 但是如果裡面已經有特殊程式會自動在連上網路時去抓取用戶資料，
: 然後在某個時間點最多人連網的時候作收割？
: 還是我想太多？
: 只是單純覺得對硬體資安這種東西不太懂，
: 想問冷錢包本身有沒有被廠商動手腳的可能？
真正的冷錢包是完全離線的，用的時候都不連網，
不過這種冷錢包相對難用。（要把簽名內容抄出來廣播）
那麼冷錢包有沒有來自設計者的風險？
（二手搞鬼的姑且不論）
目前小弟想到的，
大致上大概有這兩種途徑：
一、冷錢包連線的時候。
多數市售冷錢包會附上手機用的app，
然後以藍芽什麼等方式與裝置連線，
那麼裝置 <-> app <-> 網路
這之間確實存在著可能的通道。
如果廠商有心作怪，裝置可以留下 app 可以訪問密鑰的後門。
當然，app要反解譯並不難，若有人檢查是有可能抓包。
二、出廠時預先決定好。
假設app與冷錢包內預先設計好，
助記詞與私鑰產生的方式其實只有一億組
（或一個很大但不太離譜的數字），
你以為是隨機產生，實際上只是在這一億組裡面隨機挑一組出來，
那確實廠商有可能掌握到你的私鑰。
破解方法：自己輸入助記詞，
並檢查一下跟BIP39產生的結果是否相同。
不同的不要用。
目前小弟想到的方法大概是這兩種。
還有其他的方法也歡迎提出來。
＊＊＊＊＊
當然，還是完全離線的最好。
這時候就不得不推一下小弟自己寫的ETH溫錢包，
#1YpEmf_G