核对硬件钱包地址，唯一可信的参照物是你硬件设备屏幕上显示的完整地址。电脑或手机屏幕上的地址，无论显示得多完整、多清晰，都不能作为最终确认依据。屏幕截断不是 bug，而是设备厂商在主动迫使你养成"以设备屏幕为准"的习惯。
为什么软件端的地址不可信
硬件钱包的核心安全假设是：你的电脑可能已经被入侵。恶意软件不需要破解你的私钥，它只需要在你复制、粘贴、确认的环节里悄悄替换地址，就能让你把钱打给攻击者。
这类攻击叫剪贴板劫持。你从交易所复制了一个存款地址，恶意软件在你粘贴之前把它换成了攻击者的地址。你看到的、以为是自己复制的那个地址，其实从头到尾都不对。
更麻烦的是地址投毒攻击。攻击者会生成与目标地址开头和结尾都一致的假地址。如果你只核对前四位和后四位，根本无法发现中间部分被替换了。2022 年 Wintermute 被盗约 1.6 亿美元的事件，攻击手法就涉及利用 vanity address 匹配首尾字符来绕过检查。
这就是为什么 Ledger、Trezor、KeepKey、BitBox 等厂商的官方文档都反复强调同一件事：把设备屏幕当作唯一真实信息来源。
屏幕截断是怎么回事
如果你用的是 Ledger，可能会注意到 Ledger Live 或浏览器插件里的地址被缩成了"开头几个字符 + … + 结尾几个字符"。这不是显示错误。Ledger 在近期的更新中主动改变了显示策略，目的是防止用户过度信任软件端显示的完整地址。
问题在于，这个设计造成了实际操作的困难：你没法直接复制软件端的完整地址去和别处核对。能用来核对的，只剩设备屏幕上滚动显示的完整地址，以及你最初拿到地址的那个来源（比如交易所的提现页面）。
对于 Trezor，类似的问题出现在某些特定地址类型或 xpub 显示上，部分内容可能被截断或分页显示，需要按键翻页才能看全。不同型号和固件版本的行为不完全一致，但核心逻辑是相同的：以设备屏幕上最终呈现的内容为准。
发送时怎么核对
发送是最容易出事的环节，因为钱要离开了。
第一步：在设备屏幕上查看完整地址。 当你通过软件钱包发起一笔发送，地址会被传输到硬件设备上。设备会独立地把这个地址显示出来，不经过电脑的渲染。如果地址较长，设备屏幕通常会提供滚动或分页查看的方式。Ledger 的设备支持横向滚动看全地址；Trezor 的某些型号需要用按键翻到后续部分。
第二步：逐字比对，不要只看首尾。 把设备屏幕上显示的地址，和你最初获得这个地址的来源进行比对。如果你是从交易所提现，就对着交易所页面上的地址看；如果是别人给你的，对着他发给你的原始信息看。
比对的方式很重要。只核对前六位和后六位是无效的，因为地址投毒攻击专门匹配首尾字符。你需要看完整地址，或者至少覆盖中间部分。设备屏幕小、要翻页，这确实麻烦，但这就是这道安全机制的设计意图：让你被迫慢下来，真正看完。
第三步：有任何一个字符对不上，立即中止。 不要重试，不要"再试一次看看"。设备屏幕和来源地址不一致，意味着你电脑上的软件很可能已被篡改。取消交易，断开设备，对电脑做一次完整的恶意软件扫描。
接收时同样要核对
接收地址被别人看到没关系，但如果软件端显示的接收地址被替换成了攻击者的地址，你把假地址发给付款方，钱就直接进了攻击者的口袋。
操作逻辑和发送时对称：在设备屏幕上显示接收地址，确认它和软件端你想用的那个地址一致，然后再把地址给对方。
KeepKey 的文档明确写了这一点：显示接收地址时，要在设备屏幕上确认之后再交出去，否则恶意软件可能展示一个攻击者的地址让你转发给付款人。
BitBox02 配合 Sparrow Wallet 的流程也是一个参考：在 Sparrow 里点击"Display Address"，地址会出现在 BitBox02 的屏幕上，核对一致后才能在软件端复制使用。
如果设备屏幕也显示不全
小屏幕设备显示长地址时，分页或滚动是正常的。你需要确认的是：你能不能通过设备提供的操作方式看到地址的全部字符。
如果按遍所有按键、试过滚动，仍然有部分字符无法看到，那就不应该继续这笔交易。不要因为"应该没问题"就盲目确认。检查设备固件是否为最新版本，查看厂商官方文档中关于该型号地址显示的说明。有些旧版本的应用或固件确实存在显示不完整的问题，更新后可以解决。
但如果更新后仍然无法完整显示，而你又要进行大额转账，换一种核对方式是合理的：比如使用二维码。部分设备支持在屏幕上显示地址的二维码，你可以用另一个可信设备扫描并与来源比对。如果连二维码也无法验证，暂停操作比冒险确认更安全。
一个实用的替代方案
如果觉得每次都要在设备小屏幕上翻页看完整地址太费力，有一个折中做法：使用地址簿。
在设备连接的状态下，把你确认过的常用地址（比如你自己的交易所存款地址）保存到软件钱包的地址簿中，并给它一个容易辨认的标签。下次发送时，直接选择地址簿中的条目，而不是每次都从剪贴板粘贴。这减少了剪贴板被劫持的机会。
但要注意：地址簿本身存储在电脑上，理论上也可能被篡改。所以第一次保存地址时，仍然需要在设备屏幕上完整核对一遍。保存之后，定期抽查一两个地址簿条目的设备端显示是否与保存时一致。
完成标准是什么
一笔发送操作完成核对的标志是：你在设备屏幕上逐字看完了一个完整地址，并且这个地址与你独立获得的原始来源完全一致。然后你才在设备上按下确认。
如果你只是看到了软件端的一串字符、按了确认、设备亮了绿灯，这不叫核对完成。设备亮绿灯只说明它签了名，不说明它签的是你想要的地址。
对于接收，标准是：付款方收到的地址，是你在设备屏幕上亲自确认过的那个完整地址。
设备屏幕是你在整个流程中唯一可以物理控制的显示界面。软件可以伪装，剪贴板可以被篡改，历史记录可以被替换，但设备屏幕上显示的内容，是设备根据它将签署的交易独立生成的。用这个屏幕，不要绕过它。
参考资料
- Emmy's Crypto Insider·Ledgerでアドレスが省略表示される時の確認手順と注意点，页面发布或更新日期：2026-07-10；核查日期：2026-09-29。
- GitHub·Behaviour of the xpub displaying should be aligned with address displaying · Issue #3047 · trezor/trezor-firmware，页面发布或更新日期：2023-05-30；核查日期：2026-09-29。
- KeepKey·Trust Your Device Screen，页面发布或更新日期：2026-07-16；核查日期：2026-09-29。
- KeepKey·Send & Receive，页面发布或更新日期：2026-07-16；核查日期：2026-09-29。
- Ledger·Verify transaction details，页面发布或更新日期：2026-05-12；核查日期：2026-09-29。
- Ledger·什么是剪贴板劫持？，页面发布或更新日期：2026-05-13；核查日期：2026-09-29。
- Ledger·使用 Ledger 设备核实交易，避免遭受地址替换攻击，页面发布或更新日期：2026-05-13；核查日期：2026-09-29。
- GitHub·Change default screen in data signing to show shortened data · Issue #6597 · trezor/trezor-firmware，页面发布或更新日期：2026-03-16；核查日期：2026-09-29。
- BitBox·How to receive Bitcoin (BTC) using Sparrow Wallet and BitBox02，页面发布或更新日期：2026-02-24；核查日期：2026-09-29。
- MyCryptoHQ·ledger-hardware-wallet-missing-characters-from-address.md，页面发布或更新日期：2017-12-11；核查日期：2026-09-29。
