硬件钱包能保护密钥，但只有当屏幕显示出正在签署的内容时，才能保护资金。复杂的 calldata、面向未知合约的 EIP-712 消息以及 Safe 交易，往往只显示为哈希或十六进制数据。控制了主机软件或网页前端的攻击者会利用这一点：2025年2月的 Bybit Safe 被盗事件以及许多 Permit 钓鱼盗币事件，都是通过诱使用户批准与浏览器显示内容不符的请求而得手的。
解决办法是清晰签名（clear signing）：设备借助可信元数据，把 calldata 和类型化数据解码为各个字段。ERC-7730 为此定义了一种 JSON 描述文件格式，配套的公共注册表在以太坊组织下维护。在设备能够解码某笔交易之前，应在另一台独立的机器上验证交易哈希。