※ 引述《ULTIMA1002 (晚点再说)》之铭言：
: 如题
: 个人不是学资讯相关的，
: 只是觉得不少在卖冷钱包的厂商，
: 本身的信誉有办法被验证吗？
: 冷钱包里面如果预先暗藏什么木马还是病毒的，
: 等到哪天时机对了再一次收割？
: 有没有这种风险？
: 当然冷钱包只有用到的时候才会连网，
: 但是如果里面已经有特殊程式会自动在连上网络时去抓取用户资料，
: 然后在某个时间点最多人连网的时候作收割？
: 还是我想太多？
: 只是单纯觉得对硬件资安这种东西不太懂，
: 想问冷钱包本身有没有被厂商动手脚的可能？
真正的冷钱包是完全离线的，用的时候都不连网，
不过这种冷钱包相对难用。（要把签名内容抄出来广播）
那么冷钱包有没有来自设计者的风险？
（二手搞鬼的姑且不论）
目前小弟想到的，
大致上大概有这两种途径：
一、冷钱包连线的时候。
多数市售冷钱包会附上手机用的app，
然后以蓝芽什么等方式与装置连线，
那么装置 <-> app <-> 网络
这之间确实存在着可能的通道。
如果厂商有心作怪，装置可以留下 app 可以访问密钥的后门。
当然，app要反解译并不难，若有人检查是有可能抓包。
二、出厂时预先决定好。
假设app与冷钱包内预先设计好，
助记词与私钥产生的方式其实只有一亿组
（或一个很大但不太离谱的数字），
你以为是随机产生，实际上只是在这一亿组里面随机挑一组出来，
那确实厂商有可能掌握到你的私钥。
破解方法：自己输入助记词，
并检查一下跟BIP39产生的结果是否相同。
不同的不要用。
目前小弟想到的方法大概是这两种。
还有其他的方法也欢迎提出来。
＊＊＊＊＊
当然，还是完全离线的最好。
这时候就不得不推一下小弟自己写的ETH温钱包，
#1YpEmf_G