冷钱包保护的是什么
冷钱包的核心是让私钥处于离线保护环境。Bitcoin.org的钱包安全说明涵盖离线签名、钱包备份、加密和多重签名；NIST SP 800-57第一部分则从通用密码学角度讨论密钥材料的保护与管理。前者提供钱包场景，后者提供管理框架，不能据此认定某款钱包已经通过安全验证。
误区一：离线就能保证所有交易安全
离线隔离主要降低联网环境直接接触私钥的机会，并不保证待签名内容符合持有者意图。私钥受到保护与授权内容正确，是两个不同的问题。如果持有者认可了错误内容，离线签名本身不会替其纠错。
这一保护成立的条件，是私钥持续留在受保护环境中。把私钥复制到联网设备，会改变原有的隔离条件；仅将设备临时断网，也不能证明它此前没有受到侵害。
误区二：签名必须联网，或者签名等于交易完成
签名和网络广播承担不同职责。离线环境可以完成签名，联网环境负责向网络传递已签名交易，因此私钥无需为了广播而暴露给联网设备。签名表示完成相应授权，不代表交易已经被网络确认。
只有观察能力的联网钱包不能独立生成所需签名，但这不意味着其显示的信息天然可信。隔离签名能力减少了一类风险，信息真实性仍是另一项安全问题。
误区三：硬件钱包和密码能覆盖全部风险
专用硬件能够限制私钥的暴露面，其安全效果仍取决于设备设计、使用环境和备份管理。设备保护不能同时解决备份被窃、密码遗忘或人为错误。
钱包加密主要保护被加密的数据。Bitcoin.org特别指出，加密不能防住所有按键记录风险。因此，设置密码与保护输入环境、恢复材料各有作用，不能互相替代。
误区四：有一份备份就一定能够恢复
备份必须包含恢复所需的完整信息。部分钱包涉及多个私钥或找零地址，仅保存某个可见地址对应的私钥可能不够。备份是否需要更新，应结合钱包的密钥生成方式判断，不能把一种钱包的规则套用于所有钱包。
设备丢失后能否恢复，取决于备份是否完整、可读，以及必要的解密信息是否仍然可用。多个存放位置能降低单点损坏风险，但每个副本也都需要保密保护。
常见问题：多重签名能否免除恢复规划
不能。多重签名可以分散单个密钥被盗带来的风险，但仍需保留满足授权条件的密钥。若可用密钥不足，同样可能无法使用资金。冷存储适用于能够持续维护隔离环境和恢复安排的场景，其安全边界同时涉及保密性与可恢复性。