三台被改装的 Trezor：固件能修好设备，修不好种子

买硬件钱包的理由只有一个：不信任网络。结果这次的坑，在快递盒里。

11 月 12 日，Trezor 公布了那起「设备里被塞了东西」的调查结果。结论很克制，也很不体面：一共 3 台 Safe 5 被物理改装过，全部来自东南亚经销商 CryptoBilis，售出时间集中在 8 月 20 日到 9 月 23 日。

改装的东西不复杂。多出来一块电路板，上面带着蜂窝模块和天线，夹在主板和屏幕之间。它不碰你的私钥，也不需要联网——它看屏幕。助记词总归要显示出来给你抄，它就截屏，然后走移动基站把画面发到攻击者控制的服务器。你把设备调成飞行模式、拔掉数据线、锁进铁盒，都没用。

怎么被发现的：10 月 28 日有人负责任披露，说 8 月在 Tokopedia 买的一台 Safe 5 不对劲。Trezor 排查了 48 台，亲手拆了 1 台，另 2 台靠照片确认。其他型号和其他渠道都没查出问题。

然后是两个动作。11 月 11 日，固件 2.13.1 发布，能让这些植入物截不到东西——注意措辞，是截不到，不是拆掉。硬件还在设备里，只是拿不到料了。同一天公布的另一个数字更值得看：经销商网络砍掉约 80%。

这里有个绕不过去的事实：固件能修设备，修不好种子。

屏幕被看过一次，那条助记词在数学上就已经死了。Trezor 自己显然清楚，所以建议 3 月以来在这家经销商买过设备的人，把钱转到新钱包、用全新的种子。更新固件只能保证「从现在起不再泄露」，之前泄露的那部分，收不回来。

我更在意的是 80%。官方口径是「别处没发现问题」，但同时把八成渠道砍了——这不叫个别事件，这叫承认自己管不住经销商。硬件钱包的信任边界，从来不在那颗安全芯片上，而在「这台机器从出厂到你手上，中间经过了谁」。

算笔账就明白了：改装三台设备，成本可能只是几块板子加一张快递单；要攻破 Secure Element，难度高几个数量级。供应链之所以是永恒的攻击面，不是因为它脆，是因为它便宜。

目前没有用户报告丢币。好消息，但也可能只是还没被发现——植入物只在你抄助记词的那几分钟里工作。

还在用的人，三个动作：非官方渠道买的（尤其跨境小店、二手），别赌；用官方 App 核对设备真伪和固件版本；存了大额资产的，认真考虑换一次种子。麻烦一天，比某天早上打开钱包发现归零好。

硬件钱包卖的从来不是「绝对安全」，是「把信任收窄到一小块芯片」。当经销商本身变成攻击面，这个收窄，得你自己再补一刀。

免责声明：以上内容仅供娱乐交流，不构成任何投资建议。DYOR。

#cryptocurrencies #blockchain #pickful