硬件签名器的安全边界，不只在于设备是否联网，还在于它能否利用正常输出的签名泄露秘密。原文《Anti-klepto 签名协议详解》讨论了这类风险，以及 anti-klepto 协议如何限制恶意设备对签名随机数的操纵。
原文发布时间：2026 年 11 月 5 日 02:32:41（UTC+8）。
空气隔离为何仍不足以阻止泄露
在原文描述的攻击中，恶意硬件签名器可以操纵 ECDSA 签名中的 nonce，将种子信息编码进 nonce 公钥。签名上链后，攻击者便可扫描区块链，逐步拼出私钥。
这种泄露借助的是签名本身，而不是额外的网络连接。因此，即使主机安全、签名设备采用空气隔离，也无法防御原文所述的攻击路径。
让主机参与 nonce 的生成
Anti-klepto 的核心思路，是不让硬件签名器独自决定最终的 nonce：协议要求主机钱包贡献随机 nonce，并利用椭圆曲线分配律，验证最终 nonce 公钥确实包含主机贡献的部分。
这一设计限制了设备自由选择 nonce 的空间，从而约束其通过操纵 nonce 编码秘密信息的能力。这里的信任边界也随之改变：主机不只是接收签名结果，还参与随机性的提供与验证。
协议与实现
原文还讨论了协议细节、承诺机制，以及 BitBox02 在固件和钱包软件中的实现与相关开源协作。其关注点是硬件签名器借签名泄露私钥的风险，不应将这一机制理解为对硬件钱包所有安全问题的全面防护。
原文链接：《Anti-klepto 签名协议详解》