Trezor表示Ledger发现芯片漏洞后Safe 7资金安全无忧

Trezor与芯片制造商Tropic Square披露，Ledger旗下Donjon安全团队在实验室条件下发起激光故障注入攻击后，发现了Trezor Safe 7硬件钱包所用TROPIC01安全元件中的一项漏洞。两家公司表示，该漏洞不会危及用户资金，因为Safe 7依赖三层独立安全架构，仅攻破TROPIC01不足以获取钱包、PIN码或私钥。

Ledger Donjon于2026年1月通知Tropic Square，称其已成功绕过该芯片的部分保护措施，提取了存储在元件内的机密信息，并绕过了固件签名验证。在审查这些发现后，Tropic Square工程师还发现了一种可能暴露与PIN相关芯片功能的另一项秘密的附加方法。两家公司于6月3日选择公开披露该漏洞。

"由于Trezor Safe 7采用多层独立安全架构构建，TROPIC01中的漏洞并不会危及用户资金，"Trezor首席执行官Matej Žák表示。

Safe 7于2025年10月推出，将TROPIC01与另外两款芯片——OPTIGA Trust M和STM32U5——结合使用，以处理PIN验证、设备认证和钱包创建。该漏洞存在于硬件层面，无法通过远程固件更新修复。攻击者需要物理占有设备、专业实验室设备和高级技术专长才能尝试利用该漏洞，且目前没有证据表明该漏洞已在任何真实攻击中被使用。

此次披露标志着硬件钱包行业两大竞争对手之间罕见的公开合作。Ledger Donjon此前曾发布过关于Trezor设备的独立研究，包括一份关于Trezor Safe 3的报告，展示了一种供应链式的物理拦截攻击。Trezor当时回应称没有用户资金受到损害。

Tropic Square将TROPIC01定位为一款开放且可审计的安全元件，允许研究人员检查通常会在保密协议下保持封闭的硬件。这一发现表明，公开测试可以在恶意行为者之前发现弱点，同时也凸显出硬件钱包的安全性取决于整体设备设计而非任何单一组件。Trezor表示用户无需采取任何行动，应继续通过官方渠道购买设备、保持固件更新并离线保护恢复短语。

本文仅供信息参考，不构成投资建议。