如今，通过钱包漏洞（wallet drainer）和无意中签署的授权进行的 NFT 盗窃，已成为数字资产持有者面临的主要威胁之一。任何持有有价值 NFT 或收藏品的人，都应该考虑使用冷存储方案——也就是使用一台从不直接联网的硬件钱包，将私钥离线保存。 Ledger 是市场上最受信任的冷存储方案之一。这家法国公司成立于 2014 年，总部位于巴黎，迄今已在全球售出超过 700 万台设备，且从未出现私钥被从 Ledger 设备远程提取的确认案例。本指南将带您了解如何用 Ledger 安全存储 NFT、稳妥管理各类授权，并防范常见的诈骗手法。
为什么 NFT 需要冷存储：钱包漏洞的流行
钱包漏洞（wallet drainer）威胁已成为 Ethereum、Polygon 等网络上 NFT 持有者的普遍问题。Drainer 通常通过搭建诈骗网站、部署恶意智能合约，甚至冒充 OpenSea 等 NFT 市场的官方账户，诱导用户批准无限额的代币或 NFT 转移授权。一旦批准，攻击者便可以在无需进一步许可的情况下，将您钱包中的整个 NFT 收藏转走。
如果您在联网的电脑或手机上使用 MetaMask 或 Trust Wallet 之类的软件钱包，无论设备看起来多“干净”，都始终存在风险，因为私钥与联网设备存放在一起。像 Ledger 这样的冷存储设备通过将私钥保存在与互联网隔离的硬件中来保护您，并且每一笔交易都必须由您亲自按下设备上的实体按钮才能完成签署。这意味着，即使诈骗者通过钓鱼网站获取了您的其他账户信息，只要没有实际接触到您的 Ledger 硬件设备，他们也无法执行任何转账操作。
对于持有高价值 NFT 或珍稀数字艺术品的收藏者而言，冷存储不再是可选项，而是必需品。一套完整的安全策略，需要将用于长期持有的 vault wallet（保险库钱包）与用于铸造、交换等高风险操作的 hot wallet（热钱包）分开管理。这种权限隔离的做法可以确保，即使其中一个钱包被攻破，您的核心收藏也不会受到影响。
换句话说，冷存储解决的不是价格涨跌的市场风险，而是资产被直接偷走的技术风险——这是两类完全不同、都需要认真对待的问题。
因此，在决定购买任何 NFT 之前，不妨先想清楚这份资产打算长期持有还是短期交易，再据此选择合适的存储方式，而不是所有资产都放在同一个联网钱包里。
了解 Ledger 硬件钱包
Ledger 硬件钱包是一个不起眼的 USB 设备，内部搭载经认证的 Secure Element 安全芯片，并运行 Ledger 自主研发的操作系统 BOLOS。每台 Ledger 设备出厂时都会生成一组 24 个单词的 BIP39 恢复短语，您需要将它完整记录下来——这组短语正是生成您所有私钥的“种子”。如果设备丢失或损坏，您可以在另一台 Ledger 设备或兼容钱包上，通过输入这组恢复短语重新找回钱包。
您的私钥永远不会离开设备本身——即便设备连接到电脑或手机时也是如此。配套应用 Ledger Live（支持 Windows、macOS、Linux、iOS 和 Android）用于查看余额、发起转账，并提供质押（staking）、兑换（swap）等功能。但无论在 Ledger Live 还是第三方应用中操作，每一笔签名都必须在实体 Ledger 设备上按下按钮才能完成确认。如果您在 OpenSea 或已连接 Ledger 的 MetaMask 上查看或交易 NFT，设备屏幕会准确显示即将发生的操作内容。
Ledger 还设有内部安全研究团队 Ledger Donjon，持续对产品进行漏洞排查与安全审计。截至目前，尚无任何一起私钥被从 Ledger 设备远程提取的确认案例。这一记录使 Ledger 成为市场上最受信任的硬件钱包品牌之一。
值得强调的是，Ledger Live 本身只是一个查看和发起交易的界面，并不掌握也不存储您的私钥，这也是它与普通网页钱包在安全模型上的根本区别。
对于刚接触硬件钱包的用户来说，建议先花些时间熟悉 Ledger Live 的界面和各项设置，再开始转入正式资产，这样能更从容地应对日常操作。
Ledger 型号：哪一个适合您？
Ledger 目前主要提供四款产品：Nano S Plus、Nano X、Stax 和 Flex，各自面向不同的使用需求。
Nano S Plus 于 2022 年 4 月发布，售价约 79 美元，配备 128×64 像素屏幕、USB-C 接口，不支持蓝牙，也没有内置电池，每次使用都需要用数据线连接设备。它支持超过 5,500 种数字资产，可安装约 100 个应用程序。如果您设置好之后不打算频繁操作，它是存储 NFT 的绝佳入门选择。
Nano X 于 2019 年发布，售价约 149 美元，在 Nano S Plus 的基础上增加了蓝牙连接和内置电池，可通过 USB 或无线方式连接 iPhone 与 Android 手机。如果您习惯在手机上管理 NFT，或经常需要外出携带使用，这项功能会很实用。
Stax 于 2022 年 12 月发布，售价约 399 美元，是与 iPod 之父 Tony Fadell 共同设计的高端型号，配备 3.7 英寸弧形电子墨水触摸屏，支持蓝牙、Qi 无线充电和 NFC。Flex 于 2024 年 7 月发布，售价约 249 美元，配备 2.84 英寸电子墨水触摸屏，同样支持蓝牙、USB-C 和 NFC。
对于大多数存储 NFT 的需求而言，Nano S Plus 已经能以最低的价格提供与其他型号相同等级的安全性；如果您更看重便携性或移动端操作体验，Nano X 或 Flex 也是不错的选择（以上价格均为约值，实际售价可能会有变动）。
需要注意的是，以上价格均为参考价，实际售价可能因促销、汇率或地区而有所调整，购买前请以 Ledger 官方网站公布的价格为准。
设置 Ledger 以存储 NFT
设置 Ledger 设备的过程并不复杂，但每一步都需要格外仔细。首先，请从 Ledger 官方网站下载并安装 Ledger Live 应用。然后用 USB 数据线将 Ledger 设备连接到电脑，并按照屏幕上的指引完成初始化——您需要设置一组 PIN 码，随后设备会生成并显示一组 24 个单词的恢复短语。
备份恢复短语时，请务必手写在纸上（而不是打字输入），仔细核对两遍，并将其存放在保险箱等安全的地方。切勿拍照、通过邮件发送、存储在云端，或保存在电脑中——任何拿到这组短语的人，都可以复制您的钱包并转走全部资产。
初始化完成后，Ledger Live 会显示您在 Ethereum、Polygon、Solana 等网络上的钱包地址。建议将这些地址单独记录下来，或保存在有密码保护的文件中。此后，您就可以将 NFT 发送到您的 Ledger 地址，即便电脑处于离线状态，这些资产依然是安全的。
若要专门管理 NFT，可以在 Ledger Live 中打开 NFT 标签页，目前该功能支持 Ethereum 和 Polygon 网络。如果您的 NFT 存放在 Solana、Arbitrum 等其他网络上，Ledger Live 暂时无法以图形化方式展示它们，但您仍然可以通过 Ledger 设备结合 MetaMask 等兼容钱包应用来管理这些资产。
完成初始化后，建议先用一笔小额资产做一次转入转出测试，确认整个流程操作无误，再将主要资产迁移过来，这样可以在风险较低的情况下熟悉设备的使用方式。
另外，建议为您的 Ledger Live 账户设置一个不容易被猜到的 PIN 码，并定期检查设备固件是否有官方发布的更新，以确保设备始终处于最新且安全的状态。
将 Ledger 连接到 MetaMask 以进行 NFT 市场
当您想在 OpenSea、Blur、Foundation 等平台上买卖 NFT 时，通常需要通过 MetaMask 进行连接。好消息是，将 MetaMask 与 Ledger 连接并不会暴露您的私钥——MetaMask 只是与您的 Ledger 设备通信，请求它对交易进行签名。
具体操作方式如下：打开 MetaMask，点击“添加账户”，选择“连接硬件钱包”，从列表中选择 Ledger，点击“连接”，并按照提示选择相应的网络（如 Ethereum、Polygon 等）。此时您的 Ledger 设备屏幕会提示“允许 MetaMask 连接”，按下按钮即可确认。
完成连接后，MetaMask 就知道了您的 Ledger 地址。当您在某个市场上批准铸造、购买或出售 NFT 时，MetaMask 会提示“在 Ledger 上批准”，而您的 Ledger 设备屏幕会显示完整的交易细节，包括目标地址、金额（如有）以及正在交互的智能合约。
关键在于：没有 Ledger 设备的批准，MetaMask 无法签署任何交易。即便钓鱼网站入侵了您的 MetaMask，或诱导您点击了恶意链接，只要您没有在 Ledger 设备上亲手按下确认按钮，任何 NFT 都无法被转走。
需要提醒的是，MetaMask 与 Ledger 之间的每一次交互，本质上都只是“请求签名”与“展示签名结果”，真正的决定权始终掌握在设备屏幕前的您手中。
同样的连接方式也适用于其他支持硬件钱包的去中心化应用，只要该应用兼容 Ledger，操作流程和安全逻辑基本一致。
简而言之，把 Ledger 想象成唯一持有钥匙的保险箱，MetaMask 只是负责传递请求的前台，真正做决定的永远是设备屏幕前的您。
盲签 vs 清晰签名：至关重要的区别
Ledger 提供的最重要安全功能之一，就是让您在签名前看清自己到底在批准什么。默认情况下，Ledger 会尝试解析智能合约中的数据并显示在屏幕上，这种方式称为“清晰签名”（clear signing）。但是，部分智能合约发送的数据格式，Ledger 设备无法自动解析。
举例来说，当您在某个 dApp 上铸造 NFT 时，智能合约可能会传递类似“向地址 0x1234 发送 10 USDC”这样的指令。如果 Ledger 能够解析出这条信息（即清晰签名），您就可以在设备屏幕上核对内容是否正确，再决定是否批准。但一些较老旧或不符合标准的 dApp 可能不支持清晰签名，这时就会要求您开启“盲签”（blind signing）——也就是在设备无法读取和核实内容的情况下直接签署。
在这种情况下，您必须格外谨慎：除非您完全信任对应的 dApp，否则不要开启盲签。如果一个 dApp 仅仅为了转移或批准某个 NFT 就要求开启盲签，这本身就是一个危险信号。正规的项目方通常会支持清晰签名，或者提供说明文档，指导用户在批准前如何核实交易内容。
简而言之：清晰签名是一种保护机制，盲签则是在便利性与透明度之间做出的一种妥协。在开启盲签之前，请务必核实 dApp 的可信度；如果无法确定，最好的做法就是不要继续操作。
换个角度理解：清晰签名让您像核对合同条款一样逐项确认交易内容，而盲签则更像是在没有看到条款的情况下直接签字，两者承担的风险完全不同。
养成习惯：每次签名前，花几秒钟核对设备屏幕上显示的地址和金额是否与您预期的一致，这个简单的动作能够拦截绝大多数针对性的欺诈交易。
如果某个项目反复要求您开启盲签才能完成再普通不过的操作，这种沟通方式本身就值得您重新评估是否要继续使用该项目。
安全的 NFT 铸造和批准管理
通过 Ledger 铸造新的 NFT，与管理其他资产的流程并无不同：将 Ledger 连接到 MetaMask 或项目官网，发起铸造请求，在 Ledger 设备上核对交易内容后签名确认即可。不过，部分 dApp 会要求“无限铸造”授权，也就是希望获得无限次代表您创建 NFT 的权限——这种做法本身就存在较高风险，一旦项目方或开发者动机不良，就可能利用这项授权无限铸造并转移资产，而无需再次经过您的批准。
比起批准无限次授权，更稳妥的做法是要求“有限授权”——比如只批准铸造 10 个 NFT，或仅授权单次交易。多数信誉良好的项目在用户提出要求时，通常都能支持这种做法。在参与任何新项目铸造之前，建议先在其 Discord 和 Twitter 上做一些功课——正规项目通常会公开说明授权额度。
完成铸造后，如果您打算在 OpenSea 等平台上出售这些 NFT，可能还需要另外批准一次转移授权，这也是通过 Ledger 完成的操作，设备屏幕会显示收藏名称、您的持有地址，以及市场方的智能合约地址，内容通常清晰易懂，方便核实。
核心原则是：只批准您真正需要的权限。项目铸造完成或您已出售相关 NFT 后，建议使用 Revoke.cash、Unrekt.net 等工具，及时撤销不再需要的授权，养成良好的“授权卫生”习惯。
此外，建议将“铸造用”和“出售用”的授权分开处理，不要图方便一次性给出过大的权限范围，这样即便某一环节出现问题，损失也能控制在较小范围内。
简单来说，铸造和交易环节的每一次授权，都相当于给出一把可以打开钱包的钥匙，钥匙给得越少、给得越精确，整体安全性就越高。
定期回顾自己账户下的授权列表，是维护长期安全的一个简单却常被忽视的习惯，花几分钟检查往往能提前发现潜在的风险敞口。
Vault Wallet vs Hot Wallet 策略：关注点分离
重视安全的 NFT 持有者，通常会同时维护两套独立的钱包策略：用于长期持有的 vault wallet（保险库钱包），以及用于日常交易的 hot wallet（热钱包）。
Vault Wallet：专门使用一台 Ledger Nano S Plus 或 Nano X，只用来存放打算长期持有的 NFT。资产转入这台设备的地址后，应尽量减少对它的接触和使用频率，将设备妥善保管，也许每个月或每个季度才打开 Ledger Live 核对一次收藏是否完好，无需频繁操作。
Hot Wallet：在 MetaMask 上，或在同一台 Ledger 设备上另建一个独立账户（一台 Ledger 设备可以同时管理多个账户），专门用来铸造、交易或尝试新的 dApp。这才是真正需要承担风险的地方——所有与陌生合约的直接互动、授权和实验，都应该放在这个钱包中进行。
标准操作流程是：在 dApp 上铸造 NFT → 在 hot wallet 中批准交易 → 仔细核实内容 → 确认无误后再转移到 vault Ledger 中长期保存 → 随后撤销 hot wallet 中不再需要的授权。由于 vault Ledger 从不参与任何高风险的 dApp 交互，即便 hot wallet 不幸被盗，您的核心收藏依然安然无恙。这一策略借鉴了传统金融中“活期账户”与“储蓄账户”分离管理的思路。
换句话说，vault wallet 应当只用于接收资产，尽量不主动发起任何对外交易；只有在您完全确认安全的情况下，才从这个钱包转出资产，这样可以最大程度降低风险敞口。
如果您管理的 NFT 数量较多，也可以考虑使用多个 Ledger 账户分别对应不同类别的收藏，进一步细化风险隔离的颗粒度。
常见的 NFT 诈骗及 Ledger 如何保护您
尽管 Ledger 能够保护您的私钥，但您仍然可能面临几类特定的威胁。最常见的是钓鱼诈骗：仿冒 OpenSea 或 Blur 的假网站会要求您“连接钱包”并“批准”某个 NFT 收藏。当您浏览自己的 NFT、看到一个所谓的出售机会，并批准一笔看起来像是普通转移的操作时，实际上很可能是在为某个 drainer 恶意合约授予无限额度的转账权限。
另一种常见手法是虚假项目：诈骗者会在 Discord 或 Twitter 上，用精美的画风和大量炒作发布看似很有前景的 NFT 系列，吸引社区成员参与，然后卷走资金消失，或抛售毫无价值的 NFT。Ledger 在批准环节会显示完整的智能合约地址和创建者信息，但它无法判断某个项目是否会演变成“跑路”（rug pull），这部分判断仍需要您自己做功课。
其他常见的诈骗手法还包括：Mirror NFT（镜像 NFT）——把知名收藏的图片复制到另一个智能合约中冒充正品，购买前请务必在 Etherscan 或 Polygonscan 上核实合约地址；Rug Pull（跑路）——项目方炒热收藏、售罄后携款消失；以及较为罕见但同样值得警惕的闪电贷攻击，即攻击者短期借入大量资金以操纵市场价格。
自我保护的要点包括：仔细核对市场网址，必须是 https 且域名完全正确；在 Etherscan 或 Polygonscan 上核实创作者地址与合约信息；牢记任何人索要您的恢复短语或私钥都一定是诈骗；在连接陌生项目之前，请务必再三确认。
总的来说，多留一个心眼、放慢一步核实，往往就足以避开绝大多数针对 NFT 持有者设计的骗局，安全习惯远比事后补救更重要。
简单来说，硬件钱包能挡住偷密码的攻击，却挡不住您自己亲手签下的一份恶意合约，这也是为什么保持警惕依然十分重要。
Ledger 的安全记录：2020 年和 2023 年 12 月事件
Ledger 在透明度和事件响应方面一直有着不错的记录。2020 年，Ledger 的电商客户数据库曾遭泄露——用户的电子邮件地址、邮寄地址和订单信息被公开，但 Ledger 硬件设备本身以及用户的私钥并未受到任何影响。这次事件带来的主要教训是：由于诈骗者利用泄露的邮箱地址发送针对性的钓鱼邮件，Ledger 用户面临的钓鱼风险因此有所上升。
2023 年 12 月，dApp 用来签署交易所依赖的 JavaScript 库 Ledger Connect Kit，遭遇了持续数小时的供应链攻击。在此期间，部分使用相关 dApp 的用户资产被盗，损失总额约 60 万美元，Ledger 随后承诺会对受影响用户进行赔偿。需要强调的是，Ledger 的硬件设备本身并未被攻破——漏洞仅存在于部分 dApp 所使用的 Connect Kit 软件库中。
总结来看：Ledger 硬件设备至今从未被攻破，也从未出现私钥被远程成功提取的案例。历史上出现的安全事件，大多源于第三方软件（例如 dApp 所使用的代码库）的漏洞，或者用户自身疏于防范（例如落入钓鱼陷阱），而非硬件本身的问题。这也正是为什么将 vault wallet（硬件冷存储）与 hot wallet（联网软件钱包）分开管理如此重要——即便某个 dApp 或第三方库遭到攻击，存放在 Ledger 中的核心资产依然能够保持安全。
这也说明，评估一款硬件钱包的安全性，不能只看是否发生过“新闻事件”，更要看事件发生后暴露的问题究竟出在硬件本身，还是外围的软件生态。
对普通用户而言，比起纠结于某一次孤立的安全事件，更值得关注的是自己是否养成了核实网址、警惕陌生授权请求等基本安全习惯。
常见问题
总结
Ledger 是保护您的 NFT 收藏的经过验证和可访问的方式。借助经认证的 Secure Element 硬件、永远不会离开您设备的私钥以及大多数主流 dApp 上的清晰签名，Ledger 保护您免受绝大多数盗窃向量的影响。但是，硬件只是谜题的一部分——您还必须保持批准卫生、验证 URL 和合约地址、分离 vault 和 hot wallet 并保护您的恢复短语。 本指南仅出于教育目的而提供，不作为投资建议。NFT 价格波动，持有 NFT 存在财务风险。进行您自己的研究、仅持有您能够承受损失的东西，并使用 Ledger 作为保护您决定保留的工具。
本文仅供教育参考，不构成财务建议。
