کیف‌پول‌های سخت‌افزاری ابزارهای فیزیکی کوچکی هستند که کلیدهای خصوصی رمزارز را خارج از دسترس اینترنت نگه می‌دارند و تراکنش‌ها را داخل خود دستگاه امضا می‌کنند. با این حال، رخدادهای سال ۲۰۲۶ نشان دادند که این ابزارها، برخلاف تصور رایج، مصون از هک، خطای نرم‌افزاری یا دست‌کاری زنجیره تأمین نیستند.
وقتی بیت‌کوین، اتریوم یا رمزارز دیگری در یک صرافی نگهداری می‌شود، کلید خصوصی در اختیار صرافی است. هک شدن صرافی، ورشکستگی یا توقف برداشت می‌تواند دسترسی کاربر به دارایی را مختل کند. در مدل «خودامانی»، مالک کلیدهای خود را نگه می‌دارد؛ اما ذخیره کلید در تلفن همراه یا رایانه متصل به اینترنت، آن را در معرض بدافزار، فیشینگ و حملات از راه دور قرار می‌دهد. کیف‌پول سخت‌افزاری برای کاهش همین ریسک طراحی شده است.
کیف‌پول سخت‌افزاری چگونه کار می‌کند؟
این دستگاه که معمولا ابعادی نزدیک به فلش USB یا کارت بانکی دارد، کلیدهای خصوصی را تولید و ذخیره می‌کند. دارایی‌ها روی خود دستگاه قرار ندارند؛ رمزارز همچنان روی بلاک‌چین ثبت شده است و کیف‌پول فقط کلید لازم برای اثبات مالکیت و جابه‌جایی آن را نگه می‌دارد. به همین دلیل به آن «ذخیره‌سازی سرد» گفته می‌شود، در حالی که اپلیکیشن موبایل یا افزونه مرورگر نمونه‌ای از «کیف‌پول گرم» است.
هنگام راه‌اندازی، دستگاه با یک مولد عدد تصادفی کلیدها را می‌سازد و یک عبارت بازیابی ۱۲ تا ۲۴ کلمه‌ای ارائه می‌کند. هر فردی که به این عبارت دسترسی داشته باشد، می‌تواند کیف‌پول را بازسازی و دارایی‌ها را منتقل کند. بنابراین ذخیره آن در عکس، وب‌سایت یا فضای ابری خطرناک است.
برای ارسال رمزارز، کاربر ابتدا تراکنش بدون امضا را در نرم‌افزار همراهی مانند Ledger Wallet، Trezor Suite یا Sparrow می‌سازد. این تراکنش به دستگاه منتقل می‌شود و کاربر جزئیات را روی نمایشگر خود کیف‌پول بررسی و با دکمه فیزیکی یا صفحه لمسی تأیید می‌کند. سپس دستگاه تراکنش را در داخل خود امضا می‌کند و فقط امضا را برمی‌گرداند؛ کلید خصوصی از دستگاه خارج نمی‌شود.
اتصال می‌تواند از طریق USB، بلوتوث، NFC، کد QR یا کارت microSD انجام شود. مدل‌هایی که از QR یا microSD استفاده می‌کنند، به‌عنوان دستگاه‌های «ایزوله از شبکه» شناخته می‌شوند و مستقیما به دستگاه دیگر وصل نمی‌شوند. برخی محصولات نیز تراشه‌ای مقاوم در برابر دست‌کاری، مشابه تراشه‌های به‌کاررفته در گذرنامه و کارت بانکی، برای حفاظت فیزیکی از کلیدها دارند. قابلیت «امضای شفاف» هم جزئیات تراکنش را به زبان قابل فهم نشان می‌دهد تا کاربر بداند دقیقا چه چیزی را تأیید می‌کند.
سازندگان و محدودیت‌های امنیتی
قدمت این دسته از محصولات به بیش از یک دهه می‌رسد. شرکت چکی SatoshiLabs، سازنده Trezor، خود را مخترع کیف‌پول سخت‌افزاری در سال ۲۰۱۳ معرفی می‌کند. Ledger در فرانسه در سال ۲۰۱۴ تأسیس شد و فروش بیش از هشت میلیون دستگاه را گزارش کرده است. در این بازار، Ledger از تراشه امن و تیم هک اخلاقی Donjon استفاده می‌کند، Trezor بر پایه متن‌باز بودن محصولاتش فعالیت دارد، Keystone بر امضای تراکنش با QR تمرکز کرده، Tangem کارت‌های NFC می‌سازد و Bitkey متعلق به شرکت Block از ساختار چندامضایی بهره می‌برد.
اما این دستگاه‌ها هک‌ناپذیر نیستند. به گزارش Decrypt، در ژوئیه ۲۰۲۶ مهاجمان از یک باگ پنج‌ساله در میان‌افزار Coldcard استفاده کردند که تصادفی‌بودن تولید عبارت‌های بازیابی را تضعیف کرده بود. برآورد TRM Labs نشان می‌دهد حدود ۱٬۸۱۶ بیت‌کوین، به ارزش تقریبی ۱۱۶ میلیون دلار، از بیش از ۵٬۲۰۰ آدرس خارج شد. به‌روزرسانی میان‌افزار، عبارت‌هایی را که پیش‌تر ساخته شده‌اند اصلاح نمی‌کند و کاربران آسیب‌دیده باید دارایی را به کیف‌پولی تازه منتقل کنند.
در اکتبر ۲۰۲۶ نیز Ledger اعلام کرد تراشه‌ای غیرمجاز در دستگاه‌های عرضه‌شده از سوی فروشنده جنوب‌شرق آسیایی CryptoBilis، عبارت بازیابی را هنگام راه‌اندازی می‌خوانده و برای مهاجم ارسال می‌کرده است. این بررسی پس از گزارش تخلیه حدود ۸۶ میلیون دلار از کیف‌پول کاربران Ledger انجام شد. خود تراشه امن Ledger هک نشده بود، اما دست‌کاری دستگاه در شبکه فروش، یک نقطه ضعف متمرکز ایجاد کرد. Ledger توزیع از طریق فروشندگان واسطه در هفت بازار آسیایی را متوقف کرد و MediaMarkt در اروپا نیز فروش را متوقف کرد. Trezor هم برنامه فروشندگان واسطه خود را به‌عنوان اقدامی احتیاطی پایان داد.
نشت اطلاعات مشتریان، مانند نشانی‌ها، نیز می‌تواند فیشینگ یا حتی حمله فیزیکی موسوم به «حمله آچار» را تسهیل کند؛ در این نوع تهدید، مجرم دارنده رمزارز را حضوری تحت فشار قرار می‌دهد. با وجود این، فیشینگ و نگهداری نادرست عبارت بازیابی برای بیشتر کاربران همچنان ریسک‌های مهم‌تری از نفوذ مستقیم به دستگاه به شمار می‌روند. خرید از وب‌سایت رسمی سازنده و پرهیز از دستگاه دست‌دوم یا فهرست‌های غیررسمی، از نکات مطرح‌شده برای کاهش ریسک است.
آینده دستگاه‌های خودامانی و تصویر بازار
سازندگان در حال گسترش کیف‌پول‌ها از ابزار نگهداری رمزارز به سکوی کامل خودامانی هستند. Ledger در آوریل ۲۰۲۵ بازدهی استیبل‌کوین را از طریق Kiln اضافه کرد، Tangem در همان سال با Aave وارد این حوزه شد و Trezor در مه ۲۰۲۶ بازدهی بومی استیبل‌کوین را از طریق خزانه‌های Morpho ارائه کرد.
دستگاه Atom شرکت Ledger که در اکتبر ۲۰۲۶ عرضه شد، بر پیام‌رسانی، اپلیکیشن‌ها و امور مالی عامل‌محور تمرکز دارد. Ledger در ژوئن ۲۰۲۶ نیز ابزار متن‌باز Agent Stack را منتشر کرد تا عامل‌های هوش مصنوعی بتوانند موجودی را بررسی و تراکنش را آماده کنند، اما انتقال وجه همچنان به امضای انسانی روی دستگاه نیاز دارد. محاسبات کوانتومی نیز دغدغه دیگری است؛ Safe 7 شرکت Trezor از طرح امضای پساکوانتومی برای بررسی بوت‌لودر استفاده می‌کند و برای به‌روزرسانی‌های مقاوم در برابر کوانتوم طراحی شده است.
بر اساس داده‌های بازار Moneyiar در ساعت ۲۱:۵۴ روز ۱۷ اکتبر ۲۰۲۶، بیت‌کوین ۸۱٬۰۶۱٫۹۸ دلار قیمت داشت و در ۲۴ ساعت ۰٫۶۵ درصد و در هفت روز ۲٫۳۱ درصد کاهش یافته بود. اتریوم با قیمت ۲٬۳۷۷٫۸۵ دلار، افت ۱٫۵۴ درصدی روزانه و ۵٫۱۶ درصدی هفتگی را ثبت کرد. شیبا اینو با قیمت ۰٫۰۰۰۰۰۴۹۲۹۸ دلار، ۳٫۰۴ درصد در ۲۴ ساعت و ۹٫۶۸ درصد در هفت روز افت داشت. یونی‌سواپ نیز با قیمت ۷٫۱۱ دلار، در بازه‌های مشابه ۱٫۷۸ درصد و ۷٫۰۶ درصد کاهش یافت. این ارقام صرفا تصویر بازار در زمان اعلام‌شده را نشان می‌دهند و درباره آینده قیمت‌ها پیش‌بینی ارائه نمی‌کنند.
