Trezor回应Coldcard事件：尽管存在安全漏洞，自托管依然可靠

近期Coldcard安全事件导致用户因种子随机数生成缺陷而遭受资金损失，硬件钱包制造商Trezor随后发表声明强调，该事件虽然严重，但并不会动摇自托管的基本原则，也不会影响硬件钱包作为整体类别的可靠性。

Coldcard事件始末

Coldcard事件涉及硬件钱包一项核心功能的关键性失效：为种子生成可靠的随机数。受影响的钱包在创建时使用了弱随机数，使攻击者得以转出资金。Trezor将此描述为某一家公司产品中的特定缺陷，与其他制造商设备生成密钥的方式无关。种子随机数是加密货币安全的基础——如果随机数生成器产生可预测的输出，所生成的私钥就可能被攻击者通过数学方法重构。

钱包制造过程正确的用户不受影响。其资金安全性与事件发生前完全一致。

恐惧不应主导安全决策

Trezor提醒用户不要对安全设置做出应激性改变，指出出于恐惧的决策往往会导致用户引入自己并不完全理解的复杂性，而这种复杂性本身就是一种风险。

事件发生后，关于多重签名（multisig）钱包的讨论愈发热烈。多重签名需要多把密钥来授权交易，意味着没有任何单一设备或供应商能够危及全部资金。Trezor自2014年起即支持多重签名，是此类配置中使用最广泛的设备之一。然而该公司指出，多重签名并非对所有用户都是必需的。

对许多用户而言，简单的单签名设置仍然有效：一个种子短语，妥善记录并安全存储。多重签名本身也存在挑战，包括低于所需签名阈值的风险、备份和恢复的困难，以及托管版本的年费。Trezor建议新用户从小额开始，不要因该事件而退缩。

托管之问：谁掌握你的密钥？

自从Coldcard事件的消息传出以来，部分Bitcoin已回流至交易所和托管服务，用户试图寻求看似更简单、更安全的替代方案。Trezor对这一趋势提出异议，认为这恰恰颠倒了事件的核心教训。

Trezor表示，一个根本现实是：任何Bitcoin持有量的密钥始终由某人掌握。如果用户本人不掌握，那就是一家公司在掌握，用户就必须信任该公司会保持诚信、具备能力且维持偿付能力。

加密货币行业已多次目睹托管信任的失败。2022年FTX的倒闭导致数十万债权人无法获取数十亿美元的资产。2014年Mt. Gox黑客攻击造成约850,000枚Bitcoin的损失。近期，Celsius和BlockFi均在冻结提现后于同年宣布破产。那些相信资产由第三方安全保管的用户往往为时已晚地发现，他们从未真正控制过这些资产。

Trezor区分了信任托管机构和信任硬件钱包制造商之间的不同。使用托管机构时，用户交出的是资产本身，依赖的是公司的持续偿付能力和诚信。使用硬件钱包时，用户保留资产的控制权，仅依赖工具被正确制造这一前提。由于Trezor的代码是开源的，这一主张可以被独立验证，而非仅凭信念接受。

让自托管变得触手可及

Trezor承认责任是自托管固有的权衡，但认为行业的任务是让这份责任变得可控。

该公司挑战了长期以来的假设——即自托管天生困难，便利性只属于交易所。Trezor的立场是，驱动人们选择在哪里存储Bitcoin的是便利性，而非困难程度。大多数用户将资产留在交易所，并非因为他们评估并接受了交易所失败的风险，而是因为这一过程快捷且令人熟悉。

Trezor表示，目标应该是让持有自己的密钥变得像使用日常应用程序一样直观。安全不在于复杂的设置或气隙隔离配置。一个可靠的单签名钱包就是实用的基线，有需要的用户可以在此基础上逐步扩展。

开源即可验证的信任

Trezor强调其固件和设备设计完全开源，任何人都可以审查Trezor设备的具体工作方式，包括用于生成保护用户资金的随机数的具体方法。Trezor由SatoshiLabs生产，于2014年推出了首款被广泛采用的Bitcoin硬件钱包，并在其十二年历史中始终保持着开源姿态。

该公司提醒，开源并非自动等同于安全保证。开源代码只有在人们真正审查时才有价值。为此，Trezor运营着一个漏洞赏金计划，奖励独立研究人员发现和报告漏洞。由于代码是公开的，审查是持续性的，而非仅限于公司选择性邀请的场合。

Trezor将透明定性为并非附加项，而是基础设计原则，与Bitcoin的初衷一脉相承：使验证成为可能，而非要求盲目信任。

全行业审查与安全强化

Trezor指出，像Coldcard失败这样的事件虽然令人痛心，但会推动整个行业进行更深入的审计并提出更严厉的质疑。来自研究人员、新工具和更广泛社区的审查最终将强化自托管基础设施。

该公司报告称，过去一周迎来了大量新用户，其中相当一部分是从Coldcard转投而来，他们仍然坚定支持自托管。已运营十二年的Trezor表示，将继续像服务其他用户一样服务这些新用户。

Trezor重申其核心立场：在见证了行业中的每一次失败之后，Bitcoin最安全的保管者仍然是持有者自己。

来源：Bitcoin.com