Trezor缩减授权经销商：授权将于2027年1月1日终止

圣诞前购买 Trezor 硬件钱包：供应链安全与授权经销商变更详解

计划在圣诞节前购买 Trezor 硬件钱包的用户，如今面临的条件已与一周前大不相同。捷克制造商 Trezor 于 2026 年 10 月 13 日宣布，将大幅削减其授权经销商网络。受影响的合作伙伴自信函发出之日起不再获得新库存，且仅允许在 2027 年 1 月 1 日前销售剩余库存。此后，这些合作伙伴将不再具备官方授权资格。

这一举措的触发点并非 Trezor 自身，而是竞争对手 Ledger 发生的事件：通过东南亚某经销商流入市场的 Ledger 设备中，被发现内置了带有外国无线电组件的改装部件。对于买家而言，这改变了最核心的考量因素：重要的不再是哪款模型支持最多的资产，而是设备进入你手中的供应链路径是否安全。

Trezor 于 10 月 13 日发布的声明核心内容

Trezor 通过其在 X 平台上的官方渠道发布了该决定，首席商务官 Danny Sanders 此前已向合作伙伴发送了相关信函。据行业媒体《The Crypto Times》报道，信函中对即将被取消授权的经销商的关键表述为：“您的授权将于 2027 年 1 月 1 日终止。”

信函明确了三点内容：

1. Trezor 即日起停止向受影响的合作伙伴供应新库存。
2. 这些伙伴可继续销售现有库存，直至年底授权到期。
3. 其余保留资格的合作伙伴将在修订后的合同框架下工作，Trezor 将对设备的来源、存储方式及处理流程进行更严格的审查。

值得注意的是，Trezor 明确指出，目前没有证据表明其自有设备遭到篡改。公告强调，“没有任何证据显示 Trezor 设备已被攻破”。此次调整属于预防性措施，而非针对自身损失的反应。公司也表示，若情况发生变化，将重新评估此决定。

供应链攻击解析：Ledger 事件中的植入机制

事件的导火索是法国制造商 Ledger 发生的一起安全事故。据 CoinDesk 等行业媒体报道，通过东南亚经销商 CryptoBilis 销售的 Ledger 设备中，携带了一个额外的无线电组件。该组件能够从设备屏幕上读取 24 位助记词，并通过内置 eSIM 卡经由移动网络将其发送出去。

Ledger 将此案定性为供应链中的物理干预，而非其软件或内部系统存在漏洞。这正是问题的核心，也是为何经销商名单突然成为安全问题：设备内部的加密技术完好无损，但攻击发生在更早的阶段——即在设备到达客户手中之前，对设备本体进行了物理修改。

助记词是由 12 或 24 个单词组成的序列，任何掌握该序列的人均可重新计算钱包的所有私钥，从而在无需持有设备的情况下完全控制余额。因此，硬件钱包仅在自身屏幕上显示一次助记词，且屏幕内容不被外部读取是保护的核心。一旦屏幕内容被“旁路读取”，整个防护体系即告失效。

关于损失规模，目前仅有估算数据且存在分歧。Galaxy Digital 的研究部门估计损失超过 9000 万美元，涉及数百个地址；CoinDesk 引用链上数据显示，超过 300 个钱包的损失高达 9320 万美元；稳定币发行方 Tether 冻结了其中的 1000 万 USDT。Ledger 官方尚未确认受害者数量或总金额。因此，9000 万至 9300 万美元仅为估算范围，而非经审计的确切数字。

Trezor 已于 10 月 12 日（即大公告前一天）出于预防目的，从自家经销商名单中移除了 CryptoBilis。这意味着该经销商在 Trezor 系统中曾列名，但在该特定事件中未造成已知损失。

截止日期与过渡期安排

从买家角度看，截止日期是最令人困扰的部分。被取消授权的经销商并非立即失去资格，而是直到 2027 年 1 月 1 日才正式终止。在此之前，他们仍可出售库存。这意味着整个圣诞节购物季和“黑五”期间，交易仍遵循旧秩序。Trezor 在信函中明确提及这一时期，表明这是有意给予合作伙伴的过渡期。

这对消费者意味着一个不便的后果：在未来几周，货架上和网店中仍会有来自那些形式上已获授权但一月后将不再获权的经销商的设备。因此，十二月的经销商身份并不能保证一月时的分类状态。如果您关注最短的安全供应链路径，请务必在购买前核实状态，而非等到包裹送达后再检查。

概念辨析：授权经销商、市场平台与转售商

零售环境中常混淆三个术语，而它们之间的区别决定了风险等级：

• 授权经销商 (Authorized Dealer)： 与制造商签订合同并直接从制造商处采购货物的公司。
• 市场平台 (Marketplace)： 由多个不同卖家提供商品的平台，平台运营商不一定是实际卖家。
• 转售商 (Reseller)： 购买商品并进行转售的公司，无论是否与制造商有合同关系。

Ledger 案件暴露的弱点恰恰位于中间地带。经过多手流转的设备可能在途中被拆包、重新包装或存放。路线越长，篡改硬件的机会就越多。Trezor 在其帮助页面上描述其对合作伙伴的要求为：货物必须直接来自制造商，并与其他产品隔离存放。“库存由我们直接供应并保持分离，以防止设备与其他商品混合。”

Trezor 认定的安全供应链路径

在其关于购买正品设备的帮助页面上，Trezor 将自家商店列为最佳来源。此外，公司还将授权经销商及其在 Amazon 上的官方店铺列为合法来源。Trezor 原则上认为来自这些渠道的设备没有问题，并在个案中指引用户参考其关于设备可用性的指南。

自 10 月 13 日起，这种建议已上升为必要操作。当制造商因无法充分控制第三方存储路径而缩小合作伙伴网络时，直接购买不仅是便利的选择，更是路径最短、风险最低的选择。Ledger 也采取了类似路径，其新款旗舰型号仅通过自家商店独家销售。

密封、包装与固件：新设备的检查要点

外壳内的植入物很难从外部察觉，但有四个要点可提供指示，检查过程通常不到十分钟：

1. 包装完整性：取出设备前，仔细检查安全封条、薄膜及任何胶水痕迹。若封条已被破坏，请勿启用设备。
2. 重量与缝隙： 外壳内增加组件会轻微改变重量和结构。拥有同型号备用设备者可对比差异。
3. 首次设置： 新设备应自行生成助记词。如果设备上已有纸质卡片或贴纸形式的助记词，说明该设备非全新，不应投入使用。
4. 制造商验证： 两家厂商均提供通过自有软件进行的真伪检查。该检查主要针对固件是否被替换，而非检测所有额外组件。

需注意第四点：通过的真伪检查证明软件来自制造商，但仅用于读取屏幕的无线电组件并不接触软件。因此，通电设备的检查无法替代干净的供应链路径。

安全元素与种子短语：显示环节的盲区

安全元素 (Secure Element) 是一种防读取芯片，用于存储私钥并在不释放密钥的情况下计算签名。这种设计能有效抵御通过线缆、软件或通过计算机上受感染的钱包应用发起的攻击。

然而，它无法防御始于屏幕的攻击。助记词必须在设置过程中向用户展示一次，否则用户无法记录。这一瞬间是秘密离开设备的唯一时刻，而在 Ledger 案件中，正是这一刻被组件旁路读取。教训在于：芯片的加固并非硬件钱包的最薄弱环节，货物的运输路径才是。

二手硬件钱包：不可验证的风险

自 10 月 13 日以来，二手设备的情况更加明确：买家无法验证二手设备。买家既不知道谁先打开了它，也无法确定包装是否与设备匹配。两家厂商多年来一直建议避免此途径，而当前事件为此提供了事后论证。

对于考虑是否需要硬件钱包的用户，纯软件解决方案是一个替代选项，各有优劣。软件钱包无供应链风险，但其密钥存储在联网设备上。

MiCA 法规与消费者保护：监管空白

一个显而易见的问题是欧洲加密法规 MiCA 是否适用？答案是否定的。MiCA 管理的是围绕加密资产的服务，如交易、第三方托管、交易所和代币发行，在德国需获得 BaFin 许可。您自行管理的硬件钱包不属于此类服务：无人为您持有资产，该设备仅是一件电子产品。

因此，购买行为受一般产品和销售法管辖。虽然赋予您对卖家的保修权利，但并未对供应链进行监管。这一缺口导致制造商必须通过合同条款和经销商名单长度自行解决问题，这也使得他们的公告对买家产生直接的实践后果。

Ledger 事件的已知事实与未知数

诚实要求我们将事实分开看待：

已确认的事实： Trezor 将于 2027 年 1 月 1 日起缩减其经销商网络，并将 Ledger 事件作为原因。Ledger 将确认的损失追溯到通过单一经销商销售的设备，并将攻击描述为供应链的物理干预。Trezor 已于 10 月 12 日从名单中移除了该经销商。

未确定的事项： 总损失金额尚不明确，因为约 9000 万至 9300 万美元的估算来自第三方，未经制造商确认。此外，Trezor 正在取消多少家经销商资格以及影响哪些国家，公司也未提供具体数字。对于欧洲买家而言，购买时的官方授权经销商名单仍是唯一可靠的信息来源。

给消费者的建议：截至 2027 年 1 月 1 日的行动指南

基于上述公告，建议采取以下三步措施：

1. 确定供应链路径：在选择型号前，优先选择制造商直销或在购买时处于官方名单内的经销商。具体符合条件的设备可在硬件钱包对比中查找。
2. 权衡硬件钱包的必要性： 对于小额持仓，安全性良好的软件解决方案可能已足够；权衡利弊可参考软件钱包对比。
3. 评估现有设备： 任何拥有来源不明设备的用户，可参考有关 Ledger 确证植入物的报告中的检查方法。重新设置设备必然生成新的助记词。