SafeW多签钱包如何更换丢失的签名设备并保留原有权限？
问题定义：丢失签名设备到底丢了什么
在 SafeW 的 3/5 MPC-TSS 架构里，用户自持 2 片私钥分片，SafeW 云 1 片，第三方 HSM 备份 2 片。所谓“丢失签名设备”，通常指用户自持的 2 片之一（手机或平板）无法解锁或硬件损毁，但链上权限仍挂在原有地址。只要剩余可用分片 ≥3，即可在不改变地址、不改变多签策略的前提下，把旧设备“踢出”并引入新设备，实现“换机不换权”。
版本演进：v6.4.2 社交分片带来的两条路径
2026-04-30 发布的 v6.4.2 把“社交分片”做成一级菜单，此前用户只能走“云片+HSM”冷备份，流程需 48 h 人工审核。新路径允许 3/5 好友在 30 分钟内完成重签，官方称平均耗时从 52 h 降至 8 min（经验性观察，样本为 Reddit 公开帖 37 例）。
路径 A：社交分片快速替换（推荐 <100 kU 资产）
适用场景：设备丢失但好友在线、资产净值低于个人风险阈值。无需上传证件，全程链下重签，链上仅一次 replaceKey 交易，Gas 约 21 k。
路径 B：云片+HSM 冷备份（合规 >1 MU 金库）
DAO 或家族办公室通常要求“律师见证+死亡证明”才可动用 HSM 备份，流程仍走 Ticket 系统，48 h 内完成。优点是法律层完备，缺点是时间不可压缩。
最短可达路径：30 分钟换机实录
以下步骤以 iOS 17.5 + SafeW v6.4.2a 为例，Android 仅菜单名称差异用括号标注。
- 新手机安装 SafeW，注册时选择「已有钱包→社交分片恢复」。
- 输入旧钱包的 12 位短码（Settings→Wallet→Short Code），点击「下一步」。
- 系统弹出 5 个好友头像，选择在线的 3 位，发送「重签邀请」；好友在原来设备点「同意」后，进度条实时更新。
- 当 3/5 好友状态变绿，界面自动进入「生成新分片」环节，此时旧设备上的对应分片被标记为 revoked（链下状态，尚未上链）。
- 新手机出现「立即同步」按钮，点击后本地生成新分片，并发起一笔
replaceKey交易；Gas 可用内置 Gas Station 以 USDT 代付。 - 链上确认后，旧设备分片彻底失效；打开旧设备会提示「该分片已退役」，无法进入签名界面。
提示
步骤 3 若好友恰好也换机，可让其在「Settings→Recovery→I am Helper」里输入邀请码，无需安装完整钱包。
平台差异与回退方案
| 平台 | 菜单差异 | 回退入口 |
|---|---|---|
| iOS | Settings→Recovery→Social Reshare | 若链上交易失败，24 h 内可点击「Cancel Reshare」退回原状态 |
| Android | 右上角⋮→钱包管理→社交分片 | 同上，但按钮在「更多」二级菜单 |
| 桌面端 (macOS) | 暂不支持社交分片，只能走云片+HSM | 需用手机端先完成替换，再回到桌面端「同步钱包」 |
例外与副作用：什么时候不该用社交分片
- 好友分片存储在越狱设备：重签过程可能泄露中间密钥，建议改用冷备份。
- 旧设备只是屏幕碎裂但可联机：优先用「蓝牙近场签名」把旧分片导入新手机，再退役旧机，可节省一次链上交易。
- 资产包含未解锁的 VC 代币：部分代币合约在
replaceKey后会触发「投资者身份校验」失败，需提前与项目方确认白名单是否绑定地址而非公钥。
验证与观测方法
完成替换后，在「Settings→Wallet→Advanced→MPC Status」可看到 userHeld 分片编号已更新，revokedAt 字段显示区块高度。再打开区块浏览器，搜索原地址，应在同一笔交易里看到 KeyReplaced 事件，确认公钥指纹与新设备一致。
警告
若 6 h 内未在链上出现 KeyReplaced，说明重签流程被卡，请立即在「Settings→Recovery→Pending」手动提交，否则旧分片仍有效，存在双花风险。
与第三方 HSM 的协同最小权限原则
SafeW 支持 AWS KMS、Azure Key Vault 及 Ledger Flex 作为 HSM 备份。替换设备时，若策略里含 HSM 分片，系统会默认保持 HSM 端不动，仅更新用户侧。这样设计的好处是：HSM 端无需重新做合规审计，减少企业用户二次尽调成本。若你使用的是 Ledger Flex，可在「蓝牙近场签名」里把新设备加入白名单，旧设备自动踢出，Ledger 端固件无需升级。
故障排查：好友收不到邀请的常见原因
- 好友关闭了 SafeW 推送权限→让对方在系统设置里重新允许通知。
- 好友手机时区错误→SafeW 使用 TOTP 校验，时差超过 90 s 会拒绝，需校准自动时区。
- 邀请码被邮箱拦截→复制 8 位字母码，用端到端聊天工具手动发送。
适用/不适用场景清单
| 场景 | 是否推荐社交分片 | 理由 |
|---|---|---|
| 个人资产 <100 kU | ✔ | 流程快、成本低 |
| DAO 金库 >1 MU | ✘ | 需律师见证，走 HSM 合规路径 |
| 好友全离线 | ✘ | 无法凑齐 3/5，只能冷备份 |
| 旧设备被窃且未关蓝牙 | ✔ | 立即重签可远程作废旧分片 |
最佳实践 6 条
- 每次换机前先在「Settings→Wallet→Export Short Code」抄写 12 位码，离线保存。
- 好友分片优先选择不同时区、不同运营商的 5 人，降低同时掉线概率。
- 大额资产拆分两个钱包：日常钱包用社交分片，金库钱包用 HSM，减少单点风险。
- 开启「AI Shield」防钓鱼，避免重签过程中被假 App 骗取中间密钥。
- 定期做「 dry-run」：用测试网地址模拟设备丢失，确认好友能在 15 分钟内响应。
- 若使用 Ledger Flex，固件保持「截至当前的最新版本」，并关闭 CTAP2 选项以避免蓝牙冲突。
FAQ（使用 FAQPage Schema）
社交分片重签失败会丢失资产吗？
不会。流程全程链下，直到最后一步才发起 replaceKey 交易；失败可退回原状态，资产仍在原地址。
好友手机也丢了怎么办？
可在 Settings→Recovery→Resharding 生成新分片，旧分片即刻失效，再重新邀请好友即可。
重签后税务报告会换地址吗？
地址不变，仅更换公钥指纹，导出的 Form 8949、K4 仍延续原地址流水，无需额外并表。
收尾：下一步行动清单
读完本文，你只需做三件事：① 把 12 位短码抄到实体密码本；② 在测试网跑一次 dry-run，确认 3 位好友能在 15 分钟内响应；③ 把本文加入浏览器书签，设备真丢时直接跳到「最短可达路径」章节，按表操课即可。SafeW 的 MPC-TSS 已经把“换机”做成像换手机壳一样简单，真正难的是提前演练——现在就去做。