适用范围：通用原理不能代替产品核验
“芭蕾冷钱包安全的功能边界怎么确认”首先涉及证据范围。NIST密钥管理指南与比特币开发文档能够解释密钥保护和交易授权原理，但并未提供芭蕾具体型号的设计、实现或审计结论。因此，下文适用于理解冷钱包的通用安全边界，不能据此认定某款产品支持离线签名、防复制或独立确认。
密钥保管：确认保护覆盖哪些环节
NIST SP 800-57 Part 1 Rev. 5讨论密码密钥材料的管理，包括不同类型密钥所需的保护、保护方法以及相关管理职能。这一框架提示，安全判断需要覆盖密钥的整个使用过程。
核验具体产品时，需要弄清密钥由谁生成、是否可能留有副本、保存在哪里，以及使用和恢复时会经过哪些设备。离线保存只能说明某个阶段的状态；如果后续必须把秘密材料交给联网设备，该设备也进入了需要信任的范围。
签名授权：确认秘密材料在哪里被使用
比特币开发文档以P2PKH交易为例说明：花费相应输出需要提供公钥和有效签名，节点依据脚本条件验证授权。这说明密钥控制与链上花费权限存在直接关系。
核验时应区分“保存密钥的载体”和“执行签名的设备”。载体离线，并不能直接证明签名过程离线。还需要查明软件取得的是公开地址、加密材料还是可用私钥，以及解密和签名分别发生在哪里。
链上验证：有效签名不等于意图正确
网络验证交易是否满足授权条件，无法替用户判断接收对象是否符合本意。即使密钥未被窃取，错误的交易内容仍可能获得有效签名。因此，能否可靠核对待签名内容，是密钥保管之外的另一项边界。
查看余额与拥有签名权限也应分开判断。能够显示地址和链上记录，不足以证明应用掌握私钥；同样，余额显示正常也不能证明秘密材料从未泄露。
常见问题：如何把安全主张落实到证据
“离线就能防止所有泄露吗？”不能据此推断。实体接触、秘密材料被拍摄或复制，以及恢复时的暴露，都需要单独考虑。“备份越多越安全吗？”备份有助于应对丢失，但每份足以恢复控制权的副本也需要保护。
确认功能边界时，应让每项主张对应具体型号的技术说明或明确覆盖该功能的独立评估，写清保护对象、成立条件及未覆盖的环节。缺少证据的能力应保留为未确认，尤其不能把通用标准当作产品认证。