Trezor将于2027年1月1日起缩减授权经销商网络

2026年10月13日，Trezor发布了一项重要公告。此举旨在加强设备在交付前的管控力度，背景是此前涉及由CryptoBilis销售的Ledger钱包的安全事件。需要强调的是，截至目前，尚未发现任何被篡改的Trezor设备。

核心要点摘要

• Trezor计划于2027年1月1日撤销部分经销商的认证资格。
• 受影响的合作伙伴将不再接收新库存，但可继续销售截至该日期前已有的产品。
• 根据Ledger公布的结论，CryptoBilis销售的Ledger设备中包含未经授权的硬件组件。
• 该组件能够提取24词助记词并通过移动网络进行传输。
• 具体的损失金额及受害者人数目前仍未得到Ledger方面的确认。

Trezor为何缩减其经销商网络？

在2026年10月13日向合作伙伴公开发送的信中，Trezor销售总监Danny Sanders宣布将撤回部分加密货币经销商的认证资格。其主要目标是加强供应链的控制。

这些经销商将不再收到新的供货，但在2027年1月1日之前，他们可以出售现有库存。因此，Trezor允许他们在被列入官方名单之前，利用“黑色星期五”及假日期间的销售机会。

目前，此次公告影响的具体授权经销商数量尚不清楚，涉及的特定市场也未明确。Trezor将根据以下因素对每个国家进行单独评估：

• 销售额；
• 分销渠道；
• 当地存在情况。

根据2026年10月13日的记录，制造商在其目录中列出了87个条目（分布在44个国家）。这对应着80个不同的名称，有些卖家出现在多个国家。这一数据反映的是该日期观察到的目录情况，并不等同于将被撤销认证的经销商数量。

然而，Trezor已经强调了一个重要观点：保留下来的合作伙伴将签署一份更严格的框架，涉及设备的供应、存储和处理。Danny Sanders强调了该措施的预防性质，并向受影响的公司表示了歉意。

他明确指出：“没有任何证据表明Trezor设备已被篡改。”

—— Danny Sanders，Trezor销售总监，2026年10月13日致经销商的信（英文翻译）

改装Ledger设备上的植入物是如何工作的？

此次事件涉及由东南亚经销商CryptoBilis销售的Ledger加密钱包。首次确认涉及一名加密用户，时间回溯至10月10日。

根据Ledger的说法，这些设备包含一个未经授权的硬件组件，能够读取设置期间显示的恢复短语，然后通过移动网络发送。更具体地说，当植入物检测到这些屏幕时，其微控制器会对单词进行解码，然后使用eSIM通过LTE网络传输。这使得攻击者可以在不持有设备的情况下访问加密资产。

Ledger特别指出一个重要事实：该植入物是一个独立的组件。它不会修改安全元件（Secure Element）或Ledger操作系统，也不会更改交易或签名。

—— Ledger声明，2026年10月13日（英文翻译）

换句话说，硬件植入物通过捕获显示给用户的信息来绕过保护。然而，这种攻击发生在设备交付之前。因此，这涉及供应链层面的风险。

损失金额仍为未证实的估算值

一些研究人员和媒体报道的损失估计高达9320万美元，涉及300多个加密钱包。这些数据曾被CoinDesk引用，但Ledger并未予以验证。

其他估算也在流传，介于8600万美元至1.03亿美元之间。这些数据来自第三方，并根据以下因素有所不同：

• 会计方法；
• 所考虑的加密钱包类型；
• 观察日期。

因此，不应将这些数据呈现为最终的定论。

就其自身而言，Ledger既未确认受影响的加密用户总数，也未确认总损失价值。不过，该公司表示，所有与10月9日披露的事件相关的已确认损失均涉及由CryptoBilis销售的设备。迄今为止，该公司仍在审查来自其他地区的报告。

“我们尚未确认受影响的总用户数或总损失价值。网上流传的数据来自第三方，且未被Ledger完全核实。”

—— Ledger声明，2026年10月13日（英文翻译）

如何安全购买Trezor加密钱包？

目前在授权列表中的合作伙伴可能在2027年1月1日后不再出现在Trezor目录中。对于新的加密购买行为，验证应侧重于下单时分销商的状态。

Trezor还建议检查认证标志，并在Trezor Suite中进行真实性检查。如果安装说明或固件出现异常，必须联系技术支持。制造商提醒用户，切勿在任何网站、应用程序或表单中输入备份助记词。

对于Ledger，指示更为具体。从CryptoBilis购买且从未配置的设备不应初始化。如果已使用，Ledger要求将加密资产转移到具有新恢复短语的新设备上。

对于Trezor而言，加密安全本质上归结为一个工业问题：谁在交付前控制着设备？网络的收紧可能会提高可追溯性。其对产品获取的影响仍有待逐个市场衡量。