TP钱包重磅发布：硬件钱包蓝牙签名上线

2026 年 10 月 4 日，TP钱包硬件钱包正式上线蓝牙签名能力。此前硬件钱包需通过数据线连接电脑才能完成签名，移动端用户基本被排除在外。本次更新后，设备通过蓝牙与手机客户端配对，交易详情在硬件钱包自带屏幕上显示，用户在设备上按键确认后才生成签名——私钥始终留在安全芯片内，不进入手机内存，也不经过任何网络传输。

官方给出的关键指标有三条：私钥在安全芯片内生成并存储，导出路径在固件层面关闭；签名过程不依赖网络，配对仅传输待签名数据与签名结果；客户端接触到的始终是已签名的交易，因此即便手机被植入恶意程序，也无法在用户不知情的情况下伪造签名。

蓝牙配对与签名流程：私钥如何做到不出设备

配对流程分三步。第一步，硬件钱包开机后在设置中选择「蓝牙配对」，设备屏幕上显示一次性配对码；第二步，客户端在「硬件钱包」入口扫描到设备后输入配对码，双方协商会话密钥，配对关系写入设备的受信列表，最多保存 5 台设备；第三步，配对完成后，客户端会把地址的公钥导入为观察账户，用户可以看到余额与交易记录，但发起转账必须回到设备上确认。

签名流程则完全围绕设备屏幕展开。用户在客户端构造交易后点击发送，客户端把待签名的交易内容通过蓝牙传给设备；设备屏幕逐屏显示收款地址、转账金额、网络名称与预估手续费，用户核对无误后按键确认，签名在芯片内完成并回传；客户端拿到签名后自行广播到节点。整个过程中，助记词与私钥从未离开设备，客户端拿到的只有公开地址和签名结果。

为了减少误确认，设备端做了两处防篡改设计：一是地址显示末尾 6 位字符会在屏幕上放大，并要求用户在设备上手动确认其中 4 位，防止恶意软件替换剪贴板地址；二是网络名称与链 ID 同时显示，遇到链 ID 与网络名称不匹配的交易会直接拒绝签名。

多签账户：2/3与3/5门槛的参数与实测

本次同步上线多签账户功能，支持 2/3 与 3/5 两种门槛。2/3 指三把密钥中任意两把签名即可生效，适合两到三人共同管理的团队账户；3/5 指五把密钥中任意三把签名即可生效，适合资金规模更大的机构金库，允许一定数量的密钥持有者缺席或失联而不影响正常使用。多签账户的签名组合由链上合约强制执行，任何单一密钥都无法单独动用资产。

不同类型签名方式的耗时对比如下表，测试条件为同一批 200 笔交易的中位数结果。蓝牙签名的耗时高于有线连接，主要差异来自配对握手与设备端确认步骤，但与完全无法在移动端使用相比，这一秒多的代价换来的可用性提升是值得的。

密码学工程师郝允中补充了一条容易被误解的点：“多签门槛不是越高越安全。5/5 意味着五台设备全部到场才能动钱，一旦有一台损坏或密钥持有人离职，资产就会被永久锁死。2/3 和 3/5 在安全性与可恢复性之间取了平衡，关键是密钥分散在不同地点、由不同人独立保管。”

恢复、固件更新与选购建议

初始化时设备会生成 24 个单词的助记词，并强制要求用户完成一次抄写核对——系统随机抽取 5 个词要求按顺序确认，错一个就重新开始。助记词只在设备屏幕上显示，不通过蓝牙、数据线或客户端传递。固件更新同样在设备端完成，更新包会先校验签名，校验通过后才允许刷入，未通过校验的固件无法安装。

丢失与损坏的处理方式需要提前想清楚。设备丢失时，任何人拿到设备都需要输入解锁密码，连续输错 10 次会自动清空设备内密钥；用户可用此前抄写的助记词在新设备上恢复同一个账户。因此真正需要妥善保管的是助记词，而不是设备本身。官方建议助记词抄写在金属或防火材质上，存放在与常用居住地不同的地点，且不要拍照、不要存网盘、不要通过任何聊天工具发送。

岑柏舟给出的选购判断依据是资产规模与使用频率：“如果主要资产长期放在链上且金额较大，硬件钱包几乎是必需品；如果只是少量资产做日常交互，先把软件钱包的安全习惯做好，比如按用量授权、定期清理授权记录，收益可能比买设备更直接。两者不冲突，硬件钱包解决的是『签名私钥不上网』，日常习惯解决的是『不主动授权给风险合约』。”

配套方面，硬件钱包套装已同步在下载页开放获取，套装包含设备本体、恢复助记词卡与说明手册。客户端更新到 v3.8.2 后，在「我的」中找到「硬件钱包」入口即可开始配对。首次配对会引导完成一次小额测试转账，确认流程走通后再进行大额操作。