为已被攻破的电脑而设计

替换收款地址在所有方案中都留有部分缺口，因为地址投毒针对的是你的眼睛，而不是软件。两台设备上的地址图案，就是为了拦住它。

1. 01

   假设电脑已被攻破

   资金很少是因为密码学被破解才从钱包流走的。它们流走，靠的是被投毒的依赖包、一次失控的插件更新，或者被替换的剪贴板地址。在 AirGap 模式下，桌面端只保存地址，密钥在一部从不联网的手机上。

   阅读约 5 分钟

2. 02

   Mass Adoption Security（大众化安全）：签名设备就是你手里现成的手机

   专用签名设备从工厂到你的桌上，走的是一条人尽皆知的路线，买家还会进入某个客户数据库。用你手里现成的手机，这两件事都不存在：没有任何东西表明它是签名设备，所以既没有可以下手的货架，也没有可以泄露的名单。

   阅读约 5 分钟

3. 03

   跨越气隙的三种方式：QR 码、Bluetooth LE 与 NFC

   QR 码是最严格的气隙：只有光能穿过去。Bluetooth LE 适合在办公桌前持续使用，NFC 适合在终端上刻意碰一下。三者没有一个是单凭自身就被信任的，所以选更方便的那个，也不会降低标准。

   阅读约 4 分钟

4. 04

   无线隐身：谁也扫描不到的签名设备

   一个广播“这里有钱包”的无线电，会让手机很容易被找到、被跟踪。AirNox Vault 只在应用打开且处于前台时才发射信号，不带名字，使用随机地址，标识符每隔几分钟就会变一次。

   阅读约 4 分钟

5. 05

   从不信任传输通道

   蓝牙、NFC 和 QR 码都有过公开的攻击案例，所以它们都证明不了任何事情。你只需配对一次，在两边屏幕上核对一个短码；此后每条消息都端到端加密、双向认证。

   阅读约 4 分钟

6. 06

   手机让你看到什么：在签名设备上分析交易

   大多数盗窃都是在主人同意的情况下发生的：页面给你看一笔交易，请求的却是另一笔。手机从将要签名的字节中解码请求；一旦出现仿冒方法、无限授权或未知授权对象，在你逐条确认之前，Accept 按钮一直锁定。

   阅读约 5 分钟

7. 07

   手机自己留一份记录

   当出现一笔你不认识的交易时，你需要一份被感染的电脑改不了的记录。手机在签名之前，就把每一次签名、拒绝、配对和锁定写入加密日志，而这份日志从不离开手机。

   阅读约 4 分钟

8. 08

   桌面上的保险库：Argon2id 与抵御密码猜测的档案

   被盗的钱包文件有多安全，全看它的密码。AirNox Wallet 用内存困难型 Argon2id 对密码进行拉伸，并按你的机器校准，让每猜一次都要花约一秒钟；如果电脑配有 TPM 2.0 芯片，档案还会锚定在芯片中。

   阅读约 4 分钟

9. 09

   不用浏览器钱包，照样用 dApp

   传统插件钱包把密钥放在浏览器里，而浏览器是电脑上暴露面最大的程序。AirNox 插件支持标准接口，但不持有任何密钥；权限在桌面端授予，按站点、按链逐项设置。

   阅读约 4 分钟

10. 10

    有规则的 MCP 服务器：让 AI 智能体在限额内行事

    把私钥交给 AI 智能体，等于把一切都交给它。内置的 MCP 服务器默认拒绝所有请求：由你选择钱包、操作和法币限额，每次调用都有记录；在 AirGap 模式下，签名的依然是手机。

    阅读约 4 分钟

11. 11

    一个受保护的钱包，包揽一切

    把密钥放在离线设备上，不该让你放弃网络、兑换或跨链桥。AirNox Wallet 支持 Bitcoin、EVM 网络、TRON、TON、Solana 和 Sui，会把每次兑换的授权目标与给出报价的路由进行核对，还会为每个地址生成图案，让仿冒地址一眼就能看出来。

    阅读约 5 分钟

12. 12

    小巧而原生：C++，没有 JavaScript 运行时，从工作站到 Raspberry Pi

    很大一部分钱包入侵，是通过软件包生态和脚本注入实现的。AirNox Wallet 用 C++ 和 Qt 原生编写，没有 JavaScript 运行时，没有 WebView，也没有遥测：没有可供注入的页面，也没有任何东西向我们回传数据。

    阅读约 3 分钟