SafeW多签钱包如何设置硬件钱包为唯一签名入口？
功能定位：为什么要把硬件钱包设为唯一签名入口
SafeW 默认采用「MPC 分片+本地私钥」混合模式：用户自持 2 片，云端 1 片，第三方 HSM 2 片。虽然完整私钥从未落地，但本地仍保留一份热私钥分片，用于指纹或面容快速签名。对于日均流水超过 10 kU 的 DAO 金库或家族办公室，这份热分片就是攻击面。把硬件钱包（Ledger Flex、Keystone 3 Pro 等）设为唯一签名入口，等于把本地热私钥分片从门限里彻底剔除；攻击者即使拿到手机，也无法凑齐门限，由此把「物理隔离」做到极致。
2026-04-30 发布的 v6.4.2 在「角色权限」里新增「Hardware-Only Signer」开关，官方描述为「强制仅通过硬件钱包完成门限签名，关闭一切热私钥路径」。这是目前唯一能在 UI 层彻底禁用热私钥分片的入口；早于该版本只能手动改 JSON 策略，且升级后会被热修复覆盖。
版本与机型前提：先确认你能不能开
| 条件 | 最低要求 | 备注 |
|---|---|---|
| SafeW App | v6.4.2 | iOS/Android 同版号；TestFlight 6.4.2a 修复闪退，可共存 |
| 硬件钱包 | Ledger Flex ≥1.6.8、Keystone 3 Pro ≥3.3.1 | 需打开蓝牙/二维码通道，固件低版本无法识别 SafeW 策略 |
| 门限策略 | 3/5 | 若原策略为 2/3，需先升级到 3/5，否则硬件钱包占比不足 |
经验性观察：Android 13 以下机型在蓝牙配对阶段会弹「CTAP2 兼容警告」，关闭 Ledger 的「CTAP2」选项即可继续，不影响后续签名。
操作路径：三步把热私钥分片踢出门限
1. 备份旧分片并升级策略
打开 SafeW → 我的 → 钱包设置 → 多签策略 → 备份当前分片（导出加密 ZIP 到 iCloud/本地）。回到同一页面，点「调整门限」，把 2/3 改为 3/5，此时系统会自动再生成 2 片空白分片，用于后续绑定硬件钱包。
2. 绑定硬件钱包为「仅签名」角色
路径：角色中心 → 创建角色 → 选择「Hardware-Only Signer」→ 扫码/蓝牙配对 Ledger Flex → 命名「ledger-1」。重复添加第二台硬件钱包「ledger-2」以冗余。完成后，在角色列表可见两把硬件钥匙图标，状态「待激活」。
3. 激活并剔除热私钥分片
进入「多签策略 → 替换分片」，用 ledger-1、ledger-2 分别替换掉原先由手机热私钥持有的 2 片。确认后，系统提示「热私钥分片已失效」。此时回到首页，右上角钥匙图标变为灰色，并显示「Hardware Only」。
回退方案：硬件丢失后如何恢复
SafeW 的 3/5 策略里，你仍保留 1 片云端、2 片 HSM 备份。若两台 Ledger 均丢失，可在「角色中心 → 紧急恢复」用「云端分片 + HSM 分片 + 社交分片」重新凑齐 3 片，生成新策略并把新硬件钱包绑定进去。整个过程约 15 分钟，链上费用与替换分片相当。
若担心社交分片好友同时掉线，可在「Settings → Recovery → Resharding」提前生成新分片并重新发送邀请，旧分片即时作废，无需等待原好友在线。
性能与成本：唯一签名入口的代价
| 指标 | 热私钥模式 | Hardware-Only | 可复现验证 |
|---|---|---|---|
| 签名耗时 | 亚秒级 | 约 3–5 秒（含蓝牙/扫码） | 同一笔 ERC-20 转账，重复 10 次取中位数 |
| 链上成本 | 21 k gas | 21 k gas + 210 k（策略替换） | 看 Etherscan 实际消耗，策略替换只需一次 |
| 可用性 SLA | 99.9%（本地指纹） | 依赖硬件电量、固件 | 硬件断电即无法签名，需备用机 |
经验性观察：当每日签名次数超过 50 笔（例如 NFT 做市），硬件唯一模式会把总耗时从 1 分钟拉长到约 4 分钟；此时可评估「分批签名+隔夜聚合」方案，把 50 笔拆成 5 批，每批 10 笔一次性多签，减少蓝牙往返次数。
不适用场景：别为了「极致安全」反而踩坑
- 高频 DeFi 套利：毫秒级抢跑场景，硬件往返 3 秒足以让机会消失。
- 手机+手表双机旅行：若把两台 Ledger 都放在托运行李，机场丢失即无法签名。
- 合规审计要求「双岗双钥匙」：硬件钱包只能由一个人保管，无法满足「会计+出纳」分别持钥匙的隔离要求，此时应改用「双角色+双云端分片」模式。
最佳实践清单：落地前 7 项自检
- 确认已有 3 台硬件钱包（2 主 1 备用），固件均 ≥ 官方要求版本。
- 把策略升级到 3/5，并留足 Gas Station 代付额度。
- 提前在「角色中心」创建「ledger-backup」角色，不激活，只做冷备。
- 将社交分片好友扩展到 7 人，防止 5 人中有人换机失联。
- 做一次「硬件断电」演练：主动关掉两台 Ledger，用剩余 3 片完成一次小额转账，确保流程跑通。
- 把云端分片导出到加密 U 盘，交由律师或家人保管，并记录解密口令。
- 每月检查一次「Settings → Security → Hardware Firmware」，若出现红色叹号，立即升级。
故障排查：Hardware-Only 开关打不开怎么办
现象：开关灰色，提示「门限不足」
原因：当前策略为 2/3，硬件钱包只占 1 片，无法凑齐 2 片。解决：先升级策略到 3/5，再绑定第二台硬件钱包。
现象：Ledger 蓝牙配对成功，但签名时「设备离线」
可能原因：iOS 17.5 隐私-本地网络权限被禁用，导致 mDNS 广播失败。验证：关闭再打开蓝牙，看 Ledger 是否出现在系统蓝牙列表。处置：给 SafeW 开启「本地网络」权限，重启 App。
FAQ：硬件唯一签名常见疑问
硬件钱包丢了，云端分片会不会被 SafeW 滥用？
不会。云端分片单独无法凑齐门限，且每次调用需短信+Passkey 双因子；你可以在「角色中心」一键吊销云端分片，链上生效约 1 分钟。
能不能只让硬件钱包管大额，小额仍走热私钥？
目前 UI 层不支持「金额阈值」双轨。若需拆分，可创建两个独立钱包：Hardware-Only 管金库，热私钥钱包管日常零花，互不干扰。
绑定硬件后，Gas Station 还能代付吗？
可以。Gas Station 只负责广播交易，不改变签名路径；只要硬件钱包完成签名，代付逻辑与热私钥模式完全一致。
总结与下一步行动
把硬件钱包设为 SafeW 唯一签名入口，本质是用「物理隔离」替换「本地热私钥分片」，在 3/5 门限下仍保留云端+社交恢复通道，兼顾安全与可恢复性。整个流程 15 分钟、一次链上费用，就能把攻击面从「手机系统级漏洞」降到「硬件+人为双丢」。若你管理的是≥10 kU 的共享金库，立即按本文「最佳实践清单」自检；若每日签名高于 50 笔，则建议保留热私钥分片，改用「分批隔夜聚合」降低风险敞口即可。
未来版本观察：SafeW 路线图提及「可插拔签名模块」与「阈值金额」功能，有望在 2026 Q4 进入 Beta，届时或能在单一钱包内实现「大额硬件、小额热私钥」自动分流。在官方 release 之前，仍请按现有 UI 能力落地，并持续关注固件与 App 更新公告。