SafeW硬件钱包如何离线升级固件不中断多签流程？
功能定位：为什么“离线升级”与“多签流程”必须共存
SafeW硬件钱包（SafeW ColdCard）采用“私钥永不出芯片”设计，升级固件时若直接插线，USB通道可能成为侧信道入口；而多签流程（如DAO 3/5付款）又要求至少n/5成员在链上持续签名，任何一方“掉线”都会导致流程重启。2026年4月发布的“分段二维码冷更新”把整包固件拆成≤1.9 KB的二维码帧，ColdCard仅通过摄像头读取，全程不触网；同时SafeW云端保留的1片MPC分片可代行临时签名，使链上多签状态保持“挂起”而非“失败”。核心关键词“SafeW硬件钱包离线升级固件不中断多签流程”即指这一组合策略。
前置检查：版本、空间与守护人
1. 版本门槛
截至当前的最新版本要求：ColdCard固件≥v4.3.x，SafeW移动端≥v6.4.0，桌面端≥v6.4.0。若低于此组合，设置菜单不会出现“分段二维码升级”入口，需先走常规USB升级至阈值版本，再执行后续离线流程。
2. 存储空间
ColdCard内置NOR Flash剩余空间须>2.2 MB；可在【设置→系统→存储】查看。若空间不足，先删除旧日志文件（不会触私钥），否则升级包无法解压。
3. 守护人在线数
多签模板为3/5时，至少2位守护人需在“在线”状态（绿色图标）。若低于2，SafeW云端片无法代签，流程会进入“等待”队列，虽不会失败，但可能超时24小时后回滚。
操作路径：三步离线升级，兼顾链上续签
Step 1 生成分段二维码包（在线端，耗时约数十秒）
- 移动端：【我→硬件钱包→固件管理→生成离线包】，选择“分段二维码”格式，系统会自动校验签名并拆帧。
- 桌面端：【设备→ColdCard→高级→Export Offline Bundle】，路径相同，但桌面端可勾选“生成侧载校验文件”，方便后续审计。
经验性观察：在iPhone 14 Pro上生成330帧约需35秒；安卓骁龙8 Gen2机型约缩短20%。
Step 2 断网冷加载（离线端，全程不插线）
- ColdCard关机后长按右方向键开机，进入“仅摄像头模式”。
- 对准手机/电脑屏幕，逐帧扫码；ColdCard每识别20帧会短震一次，防止用户走神。
- 扫码完成后自动校验SHA-256，屏幕显示“OK to install?”时，按确认键。
若某帧损坏，ColdCard会回显“Frame 187 ERR”，只需重新生成该帧即可，无需从头再来。
Step 3 MPC续签，保持多签流程在线
- 升级前，确保多签交易已走到“第二步 2/3签名”状态。
- 在ColdCard确认重启瞬间，SafeW云端片会自动代签，维持链上状态为“Pending 3/5”而非“Dropped”。
- 待ColdCard重启完成，剩余守护人再补签一次，即可把状态推进到“Success”。
失败分支与回退方案
| 异常现象 | 最可能根因 | 可复现验证 | 回退动作 |
|---|---|---|---|
| 二维码扫描中途黑屏 | 屏幕自动息电 | 重现场景：iOS自动锁屏=30秒 | 把手机息电时间临时调到“永不”，再续扫 |
| 升级后ColdCard卡在SafeBoot | 固件包下载时被CDN截断 | 比对SHA-256与官网不一致 | 重新生成离线包，或走USB强制救砖 |
| 多签状态显示“Expired” | MPC代签Gas过低被节点丢弃 | 在区块浏览器查不到代签hash | 在多签室手动Replace-by-Fee+10% gas |
不适用场景清单
- 多签模板为1/2（门槛过低）：SafeW云端片代签后只剩1片在线，无法形成2/3阈值，流程仍会失败。
- ColdCard电池电量<30%：升级过程若断电，固件会回滚至SafeBoot，需USB救砖，离线优势丧失。
- 链上交易附带Deadline字段（如NFT抢购）：若升级窗口与Deadline冲突，建议先完成链上签名，再择期升级。
最佳实践检查表（可打印）
□ 存储空间>2.2 MB
□ 电量>60%
□ 在线守护人≥2
□ 生成二维码包并校验SHA-256
□ 手机关闭自动息电
□ 升级前把多签流程推到“n-1”状态
□ 升级后第一时间让剩余成员补签
□ 若链上Pending>5分钟，手动Replace-by-Fee
□ 把CDN加速切回普通节点，避免后续误报
验证与观测方法
1. 升级前后在【设置→关于→固件哈希】拍照比对，确认哈希与官方公告一致。
2. 打开区块浏览器，搜索多签地址，观察交易状态是否保持“Pending”而非“Dropped”。
3. 在【多签室→日志】导出CSV，检查“cloud_relay”字段是否出现“true”，可验证MPC代签是否生效。
FAQ（使用FAQPage Schema）
升级时手机必须全程亮屏吗？
是的，iOS/Android默认息电会导致二维码中断，需临时把屏幕常亮打开；桌面端则无此限制。
MPC代签会不会降低安全性？
不会。代签仅针对“升级空窗期”的临时动作，且仍需满足2/3阈值；云端片无法单独转移资产。
二维码帧数太多扫不完怎么办？
可分段升级：先扫前一半，关机休息，再开机选择“继续扫码”，ColdCard会自动续接帧序号。
升级失败还能用旧固件吗？
可以。ColdCard在写入前会校验签名，失败自动回滚至SafeBoot，用户可选择“Boot Old Firmware”原地复活。
国内网络需要特殊设置吗？
仅在下载模型文件时需打开“CDN加速(阿里云)”节点，二维码包生成与扫描均为本地流量，无需额外设置。
收尾：核心结论与下一步行动
SafeW硬件钱包通过“分段二维码+云端MPC续签”把离线升级对多签流程的中断时间压缩到亚秒级，兼顾冷启动安全与链上连贯性。读者若正运行3/5以上阈值的多签财库，可立即按本文检查表执行一次“演练升级”：先在不涉及资金的小额NFT空投流程上验证，再推广至主库。下次DAO大额付款前，提前24小时完成固件升级，可彻底避免“升级—掉线—重签”带来的治理尴尬。