近日，硬件钱包 Coldcard 被曝出固件集成错误，导致部分设备在生成密钥时意外走向可预测的软件随机数路径。这一事件让“自托管是否还值得信任”的讨论再度升温。表面上看，用户没有点击钓鱼链接，也没有泄露助记词，只是按照默认流程创建钱包，却可能在密钥源头埋下隐患。
安全不能只依赖一个标签。硬件、离线或开源均能提升安全性，但没有任何单一标签可以构成安全结论。普通用户无法逐行审计固件，让默认路径可靠，本就是安全产品应尽的责任。Coldcard 事件并未否定自托管的意义，而是提醒我们：控制权需要建立在可验证、可恢复、可迁移的基础之上。
事件发生后，有观点援引历史数据称“把资产存在交易所比自托管更安全”。然而，历史损失数字难以准确反映今天的实际风险，且这种比较通常只统计资产是否丢失，却很少回答“需要时能否取出”以及“平台出问题后能否离开”。托管服务可以降低个人管理密钥的压力，但也会让用户依赖机构持续运营、履行兑付和提供账户访问。
自托管的本质是一种控制权安排。用户掌握私钥或签名所需的关键条件，即使钱包服务停止，也能通过兼容工具恢复和迁移资产。这条独立路径，就是自托管最重要的价值。它并非对一切外部条件的绝对控制，而是让链上操作的最终授权不必完全依赖单一机构。
因此，托管与自托管之间并不存在适用于所有人的统一答案。对暂时缺乏密钥管理经验的人，选择经过审慎评估的托管服务是合理的；对希望减少单一机构依赖的人，建立一条可独立恢复和迁移的路径同样重要。关键不是站在哪一边，而是清楚自己把什么风险交了出去，又留下了什么能力。
用户控制私钥，不代表产品方可以少承担安全责任。安全应来自可靠的默认设计，不能依赖用户发现隐藏的技术风险。用户也需要确认备份能够恢复，在签名前弄清授权内容，并提前了解工具失效后的迁移方案。但这些都是可以逐步建立的能力，自托管不应成为要求所有人立即成为专家的资格考试。
Coldcard 事件没有让自托管变得不再重要，反而让安全责任更加具体。下一阶段要解决的问题，是在保留用户控制权的同时，让安全、恢复和使用体验变得更加可靠。用户可以选择托管，也可以在需要时离开托管；可以掌握控制权，也不必独自承担所有复杂度。这才是 Coldcard 之后，我们重新讨论自托管的意义。