链上侦探 ZachXBT 近日表示，用一部旧 iPhone 储存加密货币比任何硬件钱包都安全。Tornado Cash 开发者 Roman Storm 对此表示赞同，但指出一个关键功能的缺失让这个方案功亏一篑——BIP39 密码短语（passphrase）。
BIP39 密码短语是一个额外的秘密单词，可以在真实钱包前隐藏一个空钱包。ZachXBT 直言：“所有硬件钱包都是垃圾，不建议用于签名交易或储存资金。最好单独准备一部 iPhone，只用作硬件钱包。”Storm 认可这个想法，但警告说：“如果真有支持 BIP39 密码短语的移动应用，我会同意。”
密码短语的重要性不言而喻。助记词（12 或 24 个单词）通常写在纸上，加上密码短语后，同样的助记词会打开完全不同的钱包。小偷找到纸后只能看到空账户。一位英国用户因 Trezor 恢复短语被家庭监控拍到，损失约 1.72 亿美元；密码短语能让那段录像一文不值。
威胁正在加剧。Chainalysis 数据显示，2025 年共记录 15.8 万起个人钱包入侵事件，是 2022 年的近三倍，8 万受害者损失 7.13 亿美元。本月仅一次助记词漏洞就盗走了 310 万美元。
目前，Trezor、Ledger、Coldcard、Keystone、BitBox 等硬件钱包均支持密码短语，而移动钱包大多缺失：MetaMask 自 2021 年起无视用户请求，Trust Wallet 同样不支持，Rabby 仅限桌面端，只有 AirGap Vault 是唯一移动选项。Storm 的解决方案很简单：移动钱包应支持密码短语和离线签名，使手机永不联网。Trail of Bits 的研究也支持这一原则——密钥泄露时控制损失。
然而问题不止于此。Casa 联合创始人 Jameson Lopp 警告，用户常常忘记密码短语导致永久锁定。此外，香港已可强制旅客在边境解锁手机和钱包。
Trezor 首席商务官 Danny Sanders 反驳了“手机即保险库”方案。他指出，手机是通用设备，存在零点击漏洞等风险；硬件钱包拥有独立第二屏幕，手机被攻破后无法区分检查与签名。在手机上生成种子词还有 iCloud 备份和剪贴板泄漏的风险，电池老化后需 Apple 激活服务器和 Apple ID 才能恢复。
Storm 本人仍在等待 Tornado Cash 案的重审，他把球踢给了钱包开发商：“如果 MetaMask 或 Trust Wallet 加入密码短语字段，数百万部旧手机就能变成真正的加密保险库。”
免责声明：本文提供的信息不是交易建议。BlockWeeks.com不对根据本文提供的信息所做的任何投资承担责任。我们强烈建议在做出任何投资决策之前进行独立研究或咨询合格的专业人士。
