从 COLDCARD 迁移到 OneKey：创建新助记词并安全转移比特币

从 COLDCARD 换到 OneKey，有两种完全不同的操作：

• 把原来的助记词导入 OneKey，只是用新设备恢复同一组私钥。
• 在 OneKey 上创建全新助记词，再把比特币链上转到新地址，才是真正的密钥迁移。

如果旧助记词可能由 COLDCARD 受影响固件生成，第一种方法不能解决问题。新硬件不会把旧助记词重新随机化；它只会按相同标准派生出原来的钱包。本文讲的是第二种方法，也就是新建密钥、验证目标、测试转账、迁移余额、退休旧密钥。

OneKey 已在官方声明中确认，OneKey 设备与代码库不受此次 COLDCARD RNG 缺陷影响。OneKey 设备创建新钱包所需的恢复词熵在设备内部的 EAL6+ 安全元件中生成；因此迁移到 OneKey 的正确价值，不是换一台设备继续使用旧词，而是在独立的硬件熵源上创建全新密钥，再完成链上转移。

开始前，先确认你是否真的需要轮换密钥

Coinkite 的安全公告要求用户按助记词生成时的型号、固件分支、版本、骰子输入和 BIP-39 passphrase 情况判断风险。开始迁移前，先确认以下结论：

• 修复固件只能纠正之后的新助记词生成，不能修复旧助记词。
• 不满足官方独立骰子例外的受影响旧助记词应被替换。
• 强且唯一的 passphrase 会增加屏障，但官方仍建议尽快迁移。
• 不知道生成版本或骰子条件时，应采用保守路径。

如果你的助记词不在公告范围，而你只是想把另一台设备作为同一钱包的备用签名器，导入旧词在技术上属于“恢复”，不是本文所说的密钥轮换。两种目标不要混在一次操作中。

迁移前准备：不要在压力下临时找工具

先准备一个不被打断的时间段，以及下面这些条件：

不要在聊天窗口、网页表单、云文档、截图、相册或联网笔记中保存新旧助记词。合法的 OneKey、COLDCARD 或协调器客服都不需要知道你的恢复词。

如果旧地址已经出现未经授权的支出，普通教程可能不适合当前情况。不要先销毁设备或日志；保存交易 ID、钱包指纹、固件版本和你合法取得的记录，并考虑使用可信的专业响应渠道。

第一步：验证目标 OneKey 设备与软件来源

收到 OneKey 后先检查包装与防拆封状态。官方 OneKey Pro 入门指南明确提醒：不要使用已经预设 PIN 或恢复词的设备；发现包装或封条异常时应停止使用并联系官方支持。

从 OneKey 官方下载入口获取 App。连接设备后，可按设备防伪验证流程在设备端确认并查看验证结果。防伪验证是供应链检查的一部分，不代表备份、主机或之后每笔交易自动安全。

高级用户还可以根据 OneKey 的固件一致性验证文档比较官方签名文件、GitHub CI 构建产物与 CDN 文件的校验值。若你不执行手动验证，至少只使用官方 App 推送或官方固件网站，不要安装群聊中转发的固件文件。

第二步：在 OneKey 上选择“创建新钱包”

在全新或已安全重置的 OneKey 设备上选择 Create New Wallet / 创建新钱包，而不是 Import Wallet / 导入钱包。以 OneKey Pro 为例，官方流程会让用户选择支持的恢复词长度、设置新 PIN、在设备屏幕读取并记录恢复词，再按提示完成词序验证。

请遵守四条边界：

1. 恢复词必须由目标 OneKey 设备现场生成。 不要把 COLDCARD 的旧词输入 OneKey。
2. 只在设备屏幕读取。 App 或网页不应要求显示硬件钱包恢复词。
3. 按准确顺序离线记录。 拼写正确但位置错误同样无法恢复原钱包。
4. 完成设备端验证。 在主要资金转入前，确认纸质或金属备份能通过设备提示的词序检查。

如果只有一台目标设备，不要为了“测试恢复”在尚未理解流程时反复重置它。至少完成设备内置的恢复词验证；需要做完整恢复演练时，优先使用另一台可信、空白且兼容的硬件设备，并在转入大额资金前完成。

第三步：决定是否启用 Bitcoin-only、AirGap 与 passphrase

这些选项会改变日常工作流，最好在收款地址投入主要资金前决定。

Bitcoin-only 模式

OneKey 官方说明，OneKey Pro 在满足 App 与固件版本要求时可切换到 Bitcoin-only 模式，界面只保留 Bitcoin 及相关功能，并且之后可以切回标准模式。切换流程要求确认已备份恢复词，具体版本要求可能更新，因此不要照搬旧截图操作。

Bitcoin-only 模式能缩小当前启用的功能范围，但不能替代地址核验、备份或主机安全。若你还要在同一设备上管理其他网络，应先判断标准模式是否更符合需求。

QR AirGap

OneKey Pro AirGap 文档显示，启用 AirGap 后设备关闭 USB、蓝牙和 NFC 的数据传输，以 QR 在 App 和设备间交换请求与签名结果。该文档当前明确覆盖 Bitcoin 与 EVM 地址；迁移 Bitcoin 可以使用此路径。

AirGap 降低了直接数据连接，但 QR 仍承载待解析的交易。无论使用 QR、USB 还是蓝牙，都要在 OneKey 设备屏幕核对地址、金额和手续费。

新 passphrase

Passphrase 是高级功能，会与恢复词派生出一个不同钱包。若决定为新钱包配置 passphrase，应使用全新、唯一、可准确恢复的内容，并与恢复词分开保存。OneKey 的passphrase 文档提醒：丢失 passphrase 就无法访问相应钱包，输入任何不同字符也会打开另一个有效地址空间。

不要为了赶时间在迁移中临时加入无法可靠备份的 passphrase。复杂度本身不是安全收益。

第四步：连接 OneKey App，并在硬件屏幕核对收款地址

完成新钱包初始化后，把 OneKey 连接到官方 App，建立 Bitcoin 硬件账户。进入 Receive / 接收，选择 Bitcoin 主网和计划使用的账户，然后点击设备核验。

按照 OneKey 的收发资产文档和 Pro 入门指南：

1. App 显示收款地址。
2. OneKey 设备同时显示完整地址。
3. 逐字符比较两边内容，并在设备上确认。
4. 只把经过设备核验的地址提供给旧钱包。

新助记词应生成新的地址，因此不要期待它与 COLDCARD 旧地址相同。如果地址意外完全相同，先停止操作并确认自己是否错误导入了旧助记词、连接了错误账户，或仍在查看旧 watch-only 钱包。

还要确认网络是 Bitcoin 主网，而不是测试网或其他同名资产网络。复制粘贴后再次比对设备屏幕，避免剪贴板恶意软件替换地址。

第五步：从旧钱包发送一笔小额测试

使用原有 COLDCARD 与你熟悉的 Bitcoin 协调器创建交易，把一笔你能够辨认的小额测试发送到刚才由 OneKey 屏幕确认的新地址。签名前检查：

• 目标地址与 OneKey 设备核验过的地址一致；
• 金额和矿工费符合预期；
• 找零回到旧钱包中你能识别的找零地址；
• 使用的 UTXO 与账户正确，没有误动不在本次计划内的资金。

广播后保存交易 ID，等待你预先设定的确认条件，再在 OneKey App 中查看到账。App 显示余额只是第一层验证；还应再次确认设备能打开正确的钱包，并且你保存的新恢复词与可选 passphrase 对应同一账户。

不要用“测试金额已经显示”为理由跳过备份检查。能收款不代表将来一定能恢复或签出。

第六步：转移剩余比特币

测试完成后，列出旧钱包中仍由旧助记词控制的全部 UTXO 和账户。根据自己的隐私、手续费和会计需求，决定一次或分批迁移；不要因为教程使用“全部”一词而盲目合并原本不希望关联的 UTXO。

每一批交易都重复同一套核验：

1. 从 OneKey 设备重新显示并确认目标地址，不从历史聊天或旧截图复制。
2. 在旧 COLDCARD 上核对交易输出、金额和矿工费后签名。
3. 广播后记录交易 ID，并确认资金进入预期的新账户。
4. 检查旧钱包是否还有遗漏 UTXO、其他账户、passphrase 钱包或未确认找零。

Bitcoin 交易通常不可逆。若出现地址、账户、passphrase、余额或设备指纹不一致，停止操作，不要用更大一笔交易“再试一次”。

多签迁移：换设备不等于换共签密钥

多签用户需要额外一步：建立包含 OneKey 新密钥 的全新策略。把 COLDCARD 旧助记词导入 OneKey，或在协调器中把设备标签从 COLDCARD 改成 OneKey，都不会轮换共签密钥。

以 2-of-3 为例，稳妥顺序是：

1. 在 OneKey 上生成新助记词，并导出对应的共签公钥信息。
2. 与其他计划保留或同时轮换的签名器建立新 2-of-3 钱包。
3. 备份新钱包的描述符、阈值、各签名器指纹与派生信息；描述符不等于助记词，但仍应妥善保存。
4. 在多个签名设备上核对新策略和收款地址。
5. 先向新多签地址发送小额测试，再用足够数量的签名器完成一次测试支出。
6. 从旧多签策略向新策略执行链上转移。

OneKey 提供通过 Sparrow 使用 BTC 多签的官方指南，涵盖阈值设置、添加签名器、备份配置、收款和广播。多签能减少单点依赖，也会增加恢复复杂度；没有完整描述符和足够共签备份的多签并不自动更安全。

第七步：确认完成后再退休旧助记词

在宣布迁移完成前，逐项确认：

• 所有预定 UTXO 都已进入新单签或新多签地址并获得足够确认；
• OneKey 上显示的钱包指纹、账户和地址与记录一致；
• 新恢复词已离线备份并通过验证；
• 新 passphrase 若存在，已准确、分开备份；
• 新多签描述符和共签信息可恢复；
• 旧钱包没有遗漏的 passphrase 账户、找零或待确认交易。

在这些条件全部满足前，保留旧备份。完成后，将旧助记词明确标记为“已退休，不再收款”，删除不必要的数字痕迹，并避免继续把旧地址提供给付款方。如果相关设备是调查证据，不要自行擦除或销毁。

旧助记词即使余额归零，也不应被公开：历史地址、签名关系和未来误收款仍可能带来隐私或资产风险。

常见失败路径

迁移中最常见的问题往往不是密码学，而是流程混淆：

• 导入旧词后以为已经迁移。 实际上私钥没有变化。
• 只在 App 看地址。 被篡改的主机可能显示攻击者地址，硬件屏核验不可省略。
• 第一笔就转全部余额。 地址、passphrase 或账户配置错误时没有回旋空间。
• 过早销毁旧备份。 未确认找零、隐藏钱包或多签配置可能仍需要它。
• 把 PIN 当成 passphrase。 二者功能不同，PIN 不会派生新钱包。
• 在新设备上恢复后继续收旧地址。 这会让旧密钥长期不能真正退休。

清晰的迁移完成标准，比“换了一个品牌”更重要。

结论

从 COLDCARD 迁移到 OneKey 的安全核心不是把恢复词搬到另一台设备，而是创建一套新的密钥控制关系。验证目标设备，在 OneKey 上生成全新助记词，离线完成备份和可选 passphrase 记录，在硬件屏幕核对收款地址，先做小额测试，再迁移剩余 UTXO。多签用户还必须建立新策略并链上转移。

迁移要及时，但不能急到跳过验证。只要旧助记词仍能控制资金，就把它视为尚未完成；只有新钱包可恢复、资金已确认到账、旧钱包余额与账户已清点，密钥轮换才算真正结束。

参考资料

1. Coinkite：COLDCARD Security Advisory：https://blog.coinkite.com/coldcard-mk3-seed-generation-warning/
2. OneKey：Get Started with OneKey Pro：https://help.onekey.so/en/articles/11461081-get-started-with-onekey-pro
3. OneKey：Anti-counterfeiting Verification of OneKey Devices：https://help.onekey.so/en/articles/11461236-anti-counterfeiting-verification-of-onekey-devices
4. OneKey：Authenticate Firmware Consistency：https://help.onekey.so/en/articles/11461223-authenticate-the-consistency-of-firmware-files-with-the-open-source-code-released-by-onekey
5. OneKey：Send and Receive Cryptos in OneKey App：https://help.onekey.so/en/articles/11461145-send-and-receive-cryptos-in-onekey-app
6. OneKey：Connect to OneKey App via QR Code (Air-Gap)：https://help.onekey.so/en/articles/11461088-connect-to-onekey-app-via-qr-code-air-gap
7. OneKey：Bitcoin-only Mode：https://help.onekey.so/en/articles/13276348-what-is-bitcoin-only-mode-and-how-do-i-enable-it-in-the-onekey-app
8. OneKey：Passphrases and Hidden Wallets：https://help.onekey.so/en/articles/11461220-passphrases-and-hidden-wallets
9. OneKey：Using Hardware Wallets with Sparrow Wallet for BTC Multisig：https://help.onekey.so/en/articles/14084286-using-hardware-wallets-with-sparrow-wallet-for-btc-multisig
10. OneKey X：OneKey Devices Are Not Affected by the COLDCARD RNG Issue：https://x.com/OneKeyHQ/status/2085351134538174601

风险提示

本文仅用于一般安全教育，不构成财务、法律、取证或个性化迁移建议。Bitcoin 交易通常不可逆，错误地址、丢失备份、错误 passphrase、恶意主机和不完整多签配置都可能造成永久损失。执行前请核对 OneKey 与 Coinkite 的最新官方文档；任何人要求你在网页、聊天、远程桌面或未经验证的软件中输入恢复词时，都应立即停止。