Trezor 正在裁減其授權經銷商網絡，通知合作夥伴其授權將於 2027 年 1 月 1 日終止，且公司不會再向他們出貨。此決定是在競爭對手硬體錢包製造商 Ledger 展開調查、並最終確認第三方門市售出的加密貨幣錢包內藏有間諜植入數天之後作出。Trezor 表示，此舉旨在在一連串供應鏈安全事件後加強對其銷售管道的監管。

公司於週二在 X 上宣布此舉，稱「沒有任何一項證據」顯示任何 Trezor 設備遭到入侵。公司形容此番裁減純粹是出於謹慎的預防措施。

「鑑於近期發生的供應鏈事件，我們決定減少經銷商數量，以便更有效地審查與我們合作的夥伴，」Trezor 寫道。

Ledger 的發現

Ledger 的 Donjon 安全團隊指出，東南亞經銷商 CryptoBilis 售出的錢包內含未經授權的元件，會讀取設備螢幕並在恢復短語出現的瞬間將其解碼。間諜植入隨後透過內建於硬體中的 eSIM，經由 LTE（智慧型手機所使用的行動數據網路）將這些詞語傳送出去。

據 Ledger 表示，該植入不會更改儲存金鑰的晶片或設備的作業系統，這意味著被動過手腳的錢包外觀與運作均屬正常。鏈上調查員 Specter 已追蹤到與此陰謀相關、超過 8,600 萬美元的疑似竊案，Ledger 表示尚未核實這一數字。

硬體錢包是一種小型設備，可將用戶加密貨幣的私密金鑰離線保存，遠離駭客。設定硬體錢包時會產生一組充當主密碼的 24 字恢復短語：無論誰掌握這些詞語，都能從世界任何角落清空錢包。由於僅憑恢復短語就足以在另一台設備上還原錢包，擷取它便等於讓攻擊者完全掌控資金。

致經銷商的信函

Trezor 商務長 Danny Sanders 公開了公司寄給即將被裁汰夥伴的信函。

「如果你收到這封信，你的授權將於 2027 年 1 月 1 日終止。當天我們會將你從授權 Trezor 經銷商名單中移除，」信中寫道。「我很抱歉。這個決定與你的努力或你代表我們的方式無關。」

「這是一項保護我們供應鏈與客戶的預防措施，」Sanders 寫道。「如果未來情況有所改變，我們會重新審視。」

受影響的經銷商將不會獲得新庫存，但可以在黑色星期五與假期期間繼續販售剩餘庫存。Sanders 表示，這項決定只是反映出 Trezor 自身能夠嚴格審查的合作夥伴數量。貼文與信函皆未透露受影響的經銷商數量。

Trezor 表示，公司逐一審視每個國家，將營收與銷售通路和自身在當地的佈局作權衡。留下的經銷商將適用更新後的法律框架，以及在設備採購、儲存與處理上更嚴格的規範。因此，2027 年 1 月 1 日的變更與更新後的規範，將決定在現有經銷商售完剩餘庫存後，買家如何取得授權商品。

Trezor 也在本週稍早於 X 上表示，CryptoBilis 已從其賣家名單中移除，且公司並未接獲來自該零售商的 Trezor 設備遭篡改的報告。

「Hi, don’t open it. Forcing the casing open can damage the device, and if it’s a Safe 7, the built-in battery makes that genuinely risky. If something about your device worries you, reach out via , and we take a look. We are actively investigating the…」

— Trezor (@Trezor) October 12, 2026

供應鏈疑慮的歷史

2022 年 5 月，Trezor 曾警告，偽冒的 Model T 錢包正在一個俄羅斯交易市場上，由非授權經銷商的賣家販售。這些設備曾被拆開、重新封裝，並更換了內部元件，Trezor 表示它們產生的恢復短語是可預測或預先定義的，意味著他人可能早已知悉這些詞語。Trezor 當時的建議是只從官方商店或授權經銷商購買——而後者正是如今正在縮減的網絡。

更近期的 8 月，物流合作夥伴 ShipMonk 在遭未經授權的存取後，暴露了 Trezor 客戶資料，公司 9 月的更新將受影響客戶總數定為 80,689 人。Trezor 表示，其自身的系統、設備、私密金鑰與錢包備份均未受到影響。

Ledger 對買家的警告

Ledger 已告知近 90 天內向 CryptoBilis 購買設備的人不要進行設定，並建議已完成設定者將資金轉移至從 Ledger 直接購買的設備上的新種子短語。Ledger 與 Trezor 均曾警告買家切勿向未經授權的賣家購買硬體錢包。