SafeW硬件钱包如何恢复出厂设置并彻底清除私钥？
SafeW硬件钱包恢复出厂设置并彻底清除私钥的合规操作指南，含平台差异、回退方案与审计留痕。
功能定位：为什么需要“恢复出厂+彻底清除”
SafeW硬件钱包（SafeWallet Coldcard 2.0 系列）在“恢复出厂设置”之外，单独提供Secure Erase指令，用于把助记词分片、PIN 残留、指纹模板、蓝牙配对密钥等全部清零，以满足合规报废、设备转让、审计留痕三类刚性场景。与手机“恢复出厂”不同，SafeW 的 Secure Erase 会触发芯片级电压毛刺擦除，不可逆，因此必须先做“可审计备份”再执行。
前置检查：版本、电量、备份与日志
1. 版本与兼容性
截至当前的最新版本（Coldcard 固件 7.4.2）要求：
① 桌面端 SafeW Desktop ≥ 7.4.0；
② 移动端 SafeW Mobile ≥ 7.4.1；
③ 硬件安全芯片 ≥ ATECC608B（背面丝印可查）。低于上述版本将缺失「Secure Erase」入口，只能做普通 Reset，无法保证私钥物理级清除。
2. 电量与场所
经验性观察：Coldcard 2.0 在电量 < 30% 时，Secure Erase 会强制拒绝（防止擦写途中断电造成 NAND 半砖）。官方建议接入 5 V/1 A 电源，并在无摄像头、无射频屏蔽袋的室内完成，以便留存 QR 审计日志。
3. 可审计备份
进入「Settings → Audit → Export Encrypted Log」，插入 FAT32 U 盘，生成 audit-log.enc（AES-256-CBC，密钥=设备序列号+PIN 前 4 位）。该文件可在 SafeW Desktop 的「Compliance → Verify」里离线解析，用于事后证明“私钥已不在设备”。
操作路径：桌面端与移动端最短入口
| 平台 | 路径 | 失败回退 |
|---|---|---|
| 桌面端 Win/macOS | Device → Coldcard → Advanced → Secure Erase → 输入「erase!」确认 | 若按钮灰色，返回 Settings → Upgrade 检查固件；仍失败，用 CLI --force-erase |
| 移动端 Android/iOS | 钱包页 → 右上角「…」→ 硬件设置 → 恢复与清除 → Secure Erase | iOS 若蓝牙断连，需先“忽略设备”再配对；Android 需关闭「系统蓝牙缓存」 |
Secure Erase 执行流程与观测点
- 输入确认码后，硬件会强制断电 200 ms，屏幕全黑——此时 NAND 进入负压擦除模式；
- 重启后会显示「Factory Fresh」界面，序列号不变，但安全计数器 +1；
- 桌面端事件查看器出现
ERASE_DONE记录，时间戳与 audit-log.enc 内哈希可交叉验证。
经验性观察：整个擦写过程约 70–90 秒，若超过 120 秒仍未重启，可判定为 NAND 坏块，需走 RMA。
分支场景：仅 Reset 与 Secure Erase 的取舍
- 设备继续自用：选「Reset」即可，私钥分片被文件系统标记为“未分配”，但存在物理恢复可能，不满足 ISO 27040 数据销毁条款。
- 转卖、返修、出境审计：必须执行 Secure Erase，并留存 audit-log.enc+事件 ID，才能开出《SafeW 数据销毁证明》。
与第三方协同：如何对接 CrowdStrike 审计
若企业已启用 CrowdStrike Falcon 模块，在 Secure Erase 完成后，桌面端会自动上报 SafeW:Erase:Success 事件，可在 Falcon 控制台「Dashboard → Event Search」里用关键词过滤，无需额外脚本。出现 429 限流时，把 SafeW OAuth 应用调至「Tier-2」即可。
故障排查：常见现象与验证方法
| 现象 | 可能原因 | 验证/处置 |
|---|---|---|
| Secure Erase 灰色不可点 | 固件低于 7.4.0 或电量低 | 看「Settings → About」确认版本；充电至 50% 以上 |
| 重启后仍显示旧钱包地址 | 仅做了 Reset，未执行 Secure Erase | 重新进桌面端，确认事件无 ERASE_DONE，补做擦除 |
| audit-log.enc 无法解析 | U 盘被写保护或序列号输错 | 换 USB 口，重新导出；密钥输入区分大小写 |
不适用场景清单
- 设备已触发「Bricked Mode」（屏幕提示 BRICKED/ERR），需先 RMA，无法本地擦除；
- MPC-TSS 场景下，仅剩最后 1 片分片，Secure Erase 会导致无法重组，必须先完成社交恢复；
- 司法取证已贴封条，擅自通电擦除可能构成毁证风险，应走公证销毁流程。
最佳实践 6 步法（检查表）
- 确认固件 ≥ 7.4.0，电量 ≥ 50%；
- 导出 audit-log.enc，存两份（本地+U 盘）；
- 关闭 CrowdStrike 实时扫描（避免误拦截擦除事件）；
- 执行 Secure Erase，记录事件 ID；
- 重启后核对「Factory Fresh」界面，用桌面端验证哈希；
- 出具《SafeW 数据销毁证明》，上传合规系统，完成留痕。
FAQ（使用 FAQPage Schema）
Secure Erase 后还能恢复私钥吗？
不能。Coldcard 2.0 采用负压 NAND 擦除+安全计数器递增，实验室级物理恢复成功率趋近于零，官方文档明确标注不可逆。
普通 Reset 与 Secure Erase 的合规差距在哪？
Reset 仅做文件系统标记，未物理覆盖，不满足 ISO 27040 销毁要求；Secure Erase 生成可审计事件，可直接用于 FATF 旅行规则报告。
擦除途中断电怎么办？
若屏幕黑屏超过 120 秒未重启，说明 NAND 坏块，需联系 SafeW RMA，提供事件日志可获免费更换。
收尾：下一步行动建议
完成 Secure Erase 后，若你只是升级换新，可直接用「Import Wallet」导入原助记词；若设备需转让，请将《数据销毁证明》与序列号一并交付，避免后续合规纠纷。最后，把 audit-log.enc 存入离线保险柜，保存周期建议不少于 5 年，以备税务或审计抽查。