硬件钱包制造商Trezor表示，将大幅缩减获准销售其设备的授权经销商数量，被移出授权名单的措施将于2027年1月1日生效。公司将这一决定称为“出于高度谨慎而采取的预防措施”，以应对近期影响硬件钱包行业的供应链事件。授权经销商是指获得制造商正式批准销售其设备的第三方零售商。

该消息由Trezor于周二在X上发布，公司声明中表示，没有任何证据表明其设备曾遭入侵。

在近期发生供应链事件后，我们决定减少经销商数量，以便更有效地审查与我们合作的伙伴。让我们说清楚：没有任何证据表明Trezor设备曾被入侵。这是一项预防措施，出于……

— Trezor (@Trezor) October 13, 2026

首席商务官Danny Sanders表示，部分经销商已收到通知，将于2027年1月1日被移出授权名单。他补充说，向这些经销商的发货已于周二停止。

Trezor还公布了一封发送给部分合作伙伴的信函，信中写道，硬件钱包“只有在其到达所有者手中的整个路径都安全时才是安全的”。据该信函，公司希望将经销商网络缩减到足以逐一审查每一位留存的合作伙伴。留在计划中的合作伙伴将面临更新的法律框架，以及对其设备采购、存储和处理方式的更严格检查。

致那些帮助Trezor成长起来的经销商们：谢谢你们，对不起 💔 pic.twitter.com/RK7KBJOshp

— Danny (@Dantoshi) October 13, 2026

Ledger事件始末

这一决定发布于Ledger确认其至少一台从东南亚经销商处购买的设备含有未经授权的硬件植入芯片数日之后。涉事经销商名为CryptoBilis。

据报道，这些植入芯片被焊接到设备中。它们会捕获用户的助记词，并通过蜂窝网络发送出去。助记词是自托管钱包的主备份——一串可以重新生成钱包所有私钥的单词——因此任何获得助记词的人无需接触硬件即可转走资金。此案也说明了供应链攻击的运作方式：入侵发生在工厂与买家之间，是在实体分销渠道而非软件环节。

该事件于2026年10月9日曝光，据报道攻击者涉嫌篡改了经由第三方经销商销售的设备。

CryptoBilis同时也是Trezor的授权经销商。在调查期间，该公司已暂停所有硬件钱包的销售。

此外，MediaMarkt的母公司表示，已从其实体门店和线上平台下架所有Ledger产品，并称此举为预防措施。

损失金额几何

区块链研究人员仍在努力测算总损失。两位研究人员的调查显示，损失金额在7200万美元8600万美元之间，另有报道称估计总额为9300万美元。

Ledger周二表示，尚未确认受影响用户的总数或损失的总价值。

Trezor的回应

Trezor一位发言人告诉Cointelegraph，公司的初始设置检查旨在识别假冒设备和被修改的固件。该发言人表示，在CryptoBilis设备中发现的植入芯片工作原理不同。

据该发言人介绍，这种植入芯片不会更改设备固件，而是读取屏幕上显示的信息，并在稍后将其发送给攻击者。这种行为超出了硬件钱包所依据的安全模型——该模型假设设备的机密信息永远不会离开硬件本身。Trezor表示，在现实世界中尚未在其设备上发现过此类攻击。

公司敦促用户直接从Trezor购买，并确认设备封条完好无损。公司还建议使用来自不同制造商的设备组成多签钱包，这样即使一台设备被入侵，也无法单独转移资金。

硬件钱包的艰难一年

据报道，硬件钱包公司今年已遭遇近十余起事件，包括数据泄露、激光故障注入攻击披露以及固件熵缺陷。激光故障注入是一种利用聚焦光束诱导芯片产生错误并可能绕过其安全检查的物理技术，而熵缺陷则指密码学密钥生成所依赖的随机性存在弱点。

Trezor自身在8月也曾发生事件：一家第三方履约服务商的数据泄露导致数万名客户的个人信息外泄。

最新进展是，Trezor的经销商移除措施将于2027年1月1日（即公告发布后不到三个月）生效。调查人员仍在继续确定Ledger事件损失的全部规模。