Air-gapped Wallet 是一种钱包架构，签名设备与在线协调器之间没有常规网络连接。它隔离私钥环境，但仍通过受控传输接收交易数据并返回签名。
区分秘密存储、签名器和在线协调器：它们可以是不同组件。协调器跟踪区块链并准备付款，签名器授权付款。在普通电脑上暂时关闭 Wi-Fi，并不能证明环境长期隔离。应说明具体设备的活动接口和完整操作流程，而不只是使用 air gap 标签。 [SeedSigner — Frequently Asked Questions]
协调器构建 PSBT，包含交易及所花费 UTXO 的必要信息。签名器读取它，核验其支持的数据并添加签名，再将结果返回协调器。取得全部必要签名后，才能完成交易最终化并广播。传输 PSBT 本身不等于签名、最终化或区块确认，也不需要把种子发送到在线环境。 [BIP 174 — Partially Signed Bitcoin Transaction Format]
批准前，将签名器可信屏幕上的收款人、金额和手续费与自己的付款意图比较。Change Output 必须依据正确的钱包密钥和配置验证；不能只信任主机的 change 标签。例如输入 100000 sat，输出 60000 和 39000 sat，意味着手续费为 1000 sat，但算术正确本身并不能确认地址由谁控制。 [BIP 174 — Partially Signed Bitcoin Transaction Format] [SeedSigner — Independent Custody Guide]
QR 是数据编码，不是真实性证明。BBQr 或 UR 等动态格式可传输更大的内容，但两端必须支持相同格式。解码器和 PSBT 解析器仍在处理不可信输入。应区分交易 QR 与 SeedQR：SeedQR 包含秘密，不应交给在线电脑或手机的摄像头扫描。 [COLDCARD — Bitcoin Air-Gap Signing Methods] [SeedSigner — Independent Custody Guide]
MicroSD 通过控制器和文件系统传输文件；安全性也取决于其处理方式和固件。专用卡能减少文件混用，却不能证明 PSBT 无害。仅用于供电的 USB 必须确实没有活动的数据通路；电缆的存在或充电标签本身，都不能界定隔离边界。 [COLDCARD — Bitcoin Air-Gap Signing Methods] [SeedSigner — Frequently Asked Questions]
COLDCARD 将 NFC 列为其 air gap 传输方式之一。但 NFC 是短距离无线电，而非光学隔离。如果威胁模型禁止无线电，该模式就不满足条件。应比较实际通道、启用方式和连接时长；QR、MicroSD、NFC 与持续的 USB 数据连接是不同接口。 [COLDCARD — Bitcoin Air-Gap Signing Methods]
只读协调器可以使用 xpub 或公开的 Descriptor，而没有签名能力。这些数据仍会泄露地址及交易关联；PSBT 可能包含派生路径、公钥和 UTXO 信息。使用 Multisig 时，应保存所有共同签名者的正确配置，以便恢复和验证地址。签名器的网络隔离本身不会隐藏在线协调器的活动。 [BIP 174 — Partially Signed Bitcoin Transaction Format] [SeedSigner — Independent Custody Guide]
Air gap 无法解决被拍照的 Seed Phrase、恶意固件或错误批准付款的问题。SeedSigner 将秘密备份与临时加载的签名器分离；关机后仍必须有正确的备份和配置。可以用独立测试密钥演练恢复与完整签名流程。隔离只是一层防护，不能替代设备验证与可恢复性检查。 [SeedSigner — Frequently Asked Questions] [SeedSigner — Independent Custody Guide]
要获得更完整的理解，请将本词条与以下词条结合阅读： Hardware Wallet, PSBT, Cold Storage, Seed Phrase, Output Descriptor, Multisig. 反向关联还来自： Cold Storage, Secure Element.