Trezor缩减经销商网络以应对供应链安全风险

2026年10月13日，Trezor发布重要公告，宣布将自2027年1月1日起调整其全球授权经销商网络。此举旨在强化设备在交付前的管控机制，背景是近期一起涉及第三方经销商销售的Ledger钱包安全事件。

供应链安全升级：为何收紧经销商认证？

Trezor销售总监Danny Sanders在致合作伙伴的信中指出，此次调整属于预防性措施，核心目标是提升整条供应链的可追溯性与可控性。受影响的经销商将不再接收新库存，但可在2027年1月1日前售完现有产品。

该决定并非针对特定国家或地区，而是基于销售额、分销渠道覆盖及本地运营情况等多维度评估后实施。截至2026年10月13日，Trezor目录共列有87个条目，分布于44个国家，对应80家不同实体，部分卖家跨多个市场运营。

值得注意的是，所有保留合作的经销商未来需签署更严格的责任协议，涵盖设备供应、仓储与处理流程。尽管如此，Trezor明确表示：截至目前，无任何证据表明其设备已被篡改。

硬件植入物如何窃取助记词？

此次安全警报源于东南亚经销商CryptoBilis销售的部分Ledger设备。据披露，这些设备内嵌未经授权的硬件组件，能在用户设置恢复短语时自动捕获24词助记词，并通过eSIM连接LTE网络实时传输。

该植入物为独立模块，不修改安全元件（Secure Element）或操作系统，也不影响交易签名过程。这意味着攻击者无需物理持有设备即可获取账户密钥，风险集中于设备交付前的流通环节。

这一攻击方式揭示了硬件钱包在供应链中面临的潜在漏洞——一旦设备在出厂后、用户激活前被干预，即使厂商端完全合规，也可能导致资产外泄。

损失规模仍存争议

尽管多家媒体引用数据称损失高达9320万美元，涉及超300个钱包，但这些数字尚未获得Ledger官方确认。其他估算范围介于8600万至1.03亿美元之间，差异主要源于统计口径、会计方法和观察时间点的不同。

Ledger强调，目前仅确认由CryptoBilis销售的设备存在已知损失，且仍在排查其他地区报告。公司重申：“网上流传的数据来自第三方，未被我们全面核实。”

如何确保购买安全？

对于计划购买Trezor产品的用户，建议优先选择当前仍在认证名单中的经销商，并在下单时核实其状态。使用Trezor Suite进行设备真实性验证，若发现安装异常或固件问题，应立即联系官方支持。

制造商特别提醒：切勿在任何网页、应用或表单中输入助记词。对于曾从CryptoBilis购入且未配置的Ledger设备，不应启用；若已使用，应尽快将资产迁移至新设备并生成全新恢复短语。

整体来看，此次事件凸显了硬件钱包安全不仅取决于技术本身，更依赖于整个交付链条的严密管理。随着行业对供应链透明度要求提升，更多品牌可能跟进类似管控举措。