选择 UKey 的核心价值，是把私钥相关操作与联网的手机、电脑和浏览器环境分开，并通过设备屏幕和物理确认增加一道独立检查。UKey 硬件钱包可以降低部分私钥窃取、恶意软件和错误签名风险，但不能保证每笔交易安全，也不能保护已经泄露的助记词。
核心认知：安全来自硬件边界、访问控制、交易核对、官方软件、恢复备份和用户操作习惯共同配合，而不是依赖某一个芯片、认证等级或连接方式。
先区分软件钱包模式与硬件钱包模式
UKey Wallet 客户端可以承担账户展示、链上查询、交易构建和广播等工作，但不同账户的密钥保管方式可能不同：
模式 | 私钥与签名 | 主要安全边界 |
软件钱包账户 | 密钥由手机或电脑上的软件环境管理 | 依赖操作系统、客户端和设备本身的安全 |
UKey 硬件钱包账户 | 私钥操作设计为在 UKey Core 内完成，客户端接收签名结果 | 硬件设备、访问凭据、设备屏幕和用户确认共同构成防护 |
在同一个客户端中使用账户，并不会让软件钱包账户自动获得硬件隔离能力。判断安全模式时，应确认该账户的私钥由哪里生成和保管，以及每次交易是否需要在 UKey Core 上确认。
UKey 的多层安全机制分别做什么？
安全层 | 主要作用与边界 |
硬件安全边界 | 私钥相关操作设计为留在设备内，减少联网客户端直接接触私钥的机会。芯片数量和认证等级只是整体设计的一部分，详见四芯片安全架构说明和安全元件（SE）说明。 |
设备屏幕与物理确认 | |
PIN 与指纹 | |
真伪与供应链检查 | |
连接方式 | Air-Gap 可以减少特定有线或无线连接通道带来的攻击面，但二维码仍会传递交易数据，不能替代屏幕核对。参见Air-Gap 使用说明。 |
独立恢复备份 | 设备丢失、损坏或重置后，能否恢复访问取决于恢复资料是否正确、安全地保存。硬件设备不能替代助记词备份，参见助记词基础说明和Wallet、Core 与 Seed 分工。 |
UKey 硬件钱包可以降低哪些风险？
联网设备直接读取私钥：密钥操作与手机、电脑的联网环境分开，可减少恶意软件直接复制私钥的机会。
客户端篡改交易信息：设备屏幕提供独立核对界面；用户发现地址、网络、金额或交易类型不一致时可以拒绝签名。
设备遗失后的直接操作：PIN 等访问控制可以增加未经授权使用设备的难度。
单一连接通道的攻击面：用户可根据支持的网络和流程选择相应连接方式，包括 Air-Gap。
仿冒或预设钱包风险：官方渠道、收货检查、真伪验证和自主初始化共同帮助识别异常设备。
这些能力降低的是特定攻击发生或成功的可能性，并不代表风险被完全消除。实际效果取决于设备状态、软件版本、所用网络、交易类型以及用户是否正确核对。
UKey 硬件钱包不能解决哪些问题？
助记词已经泄露：攻击者可能绕过原硬件设备，在其他兼容环境中恢复钱包。修改设备 PIN 不能使已泄露的助记词重新安全。
用户主动批准错误交易：如果用户确认了恶意转账、代币授权或无法理解的签名内容，硬件钱包仍可能按确认结果完成签名。
自动识别所有诈骗：设备无法替用户判断每个网站、地址、DApp、代币或智能合约是否可信。
撤回链上交易：已经广播并确认的交易通常不能由 UKey 或客服撤销。
替代恢复备份：只有设备而没有可靠备份，会在设备损坏、丢失或重置时形成单点故障。
让软件账户自动变成硬件账户：账户的安全等级取决于实际密钥保管和签名方式，而不是客户端名称。
怎样正确使用这些安全能力？
从官方或明确授权渠道获取设备，收货后检查包装、设备状态并完成官方验证；拒绝预设 PIN 和预写助记词。
确认正在使用硬件钱包账户，不要把 UKey Wallet 中的软件账户误认为已经获得硬件隔离。
离线保存助记词，不截图、不上传云端、不发送给客服，也不在网页或聊天窗口中输入。
每次签名前核对设备屏幕，重点确认网络、交易类型、地址、金额、费用和授权对象；无法理解时拒绝签名。
只通过官方入口更新软件和固件，并提前确认恢复资料完整、可读且与设备分开保存。
总结：UKey 硬件钱包提供的是多层风险控制，而不是“自动安全”的承诺。只有硬件防护、独立备份和正确的日常操作同时成立，才能发挥预期作用。