Trezor回击ZachXBT「硬件钱包全是垃圾」论:比特币(BTC)自托管安全之争升级

加密货币新闻

围绕自托管安全的一场公开交锋本周升温。链上调查员ZachXBT在7月16日发文,直言市面上所有硬件钱包都是「彻头彻尾的垃圾」,并建议用户改用一台专用、离线的iPhone来保管加密资产。这一论断直指多数比特币(BTC)持有者用来守护长期仓位的核心设备,并点名Ledger是「最差」的选项。ZachXBT的理由是:供应链暴露、固件漏洞以及助记词备份的处理方式共同构成了系统性风险,让许多用户抱有一种虚假的安全感。凭借其广受关注的资金追踪者身份,这番话在自托管社区乃至山寨币与AI钱包开发者中迅速引发反响。

Trezor首席商务官Danny Sanders于7月17日作出回应,为整个品类辩护的同时并未全盘否定这些批评。Sanders承认,笨重的软件和被强制的固件更新确实可能妨碍紧急或大额交易,也认同当前自托管工具的易用性仍然欠佳。但他拒绝那种一竿子打翻的结论,认为对于守护巨额资产的资深用户而言,单一硬件钱包或许不是最优解,可这并不意味着整个品类就是「垃圾」。他的辩护落在一个技术要点上:专用签名设备把交易链条限定在一个受控、为此专门打造的信任边界之内,而通用型消费级硬件无法复制这一点。

Sanders最尖锐的反驳针对的正是那条「改用iPhone」的建议。他指出,一台被精简过的iPhone仍然携带着远多于专用设备的攻击入口,Wi-Fi、蓝牙、iMessage以及蜂窝网络连接都是实打实的攻击面。在他的框架里,直接在基于iPhone的钱包上生成私钥,本身就比把私钥隔离在专用硬件中更危险。由于手机在同一台设备上同时完成显示与签名,整条链路都处在单一信任边界之内。一旦该设备被攻破,攻击者就能篡改用户在批准交易时所看到的地址与金额,令独立验证彻底失效。

这次回击的核心,是把硬件钱包与通用电子设备区分开来的「分离式签名」模型。Trezor以其独立屏幕、物理确认按键与开源固件作为一条可审计的信任路径——一条「屏幕、按键、签名」的流程,让用户能在设备本身、而非联网的电脑或手机上核对交易细节。Sanders强调这种气隙(air-gapped)架构是一种多功能消费级设备无法比拟的安全模型,因为用户所信任的显示界面,永远不会与暴露在网络流量中的界面是同一块屏幕。公司认为,这种隔离恰恰是ZachXBT那套单设备iPhone方案所放弃的属性。

对于批评击中要害之处,Sanders态度坦诚。他承认在安全性与易用性之间取得平衡确实很难,强制升级、变动的界面以及界面本身的缺陷,都可能在最糟糕的时刻把用户卡住。ZachXBT此前正是详列了这些失效场景:电量耗尽、被迫进行的设备或软件升级、UI改版,或是在速度与金额最为关键之际、某个网站漏洞导致无法签署一笔多重签名交易。Sanders接受这些痛点是真实存在的,但将其定性为工程上的权衡取舍,而非整个品类已经失效的证据——这一区分,把他的立场与全盘为现状背书划清了界限。

这场交锋也引来让双方立场都更复杂的声音。一位加密意见领袖指出,转向智能手机在原理上改变甚少,因为无论选择何种硬件,单一设备配上单一助记词,依旧是一个单点故障。Tornado Cash联合创始人Roman Storm部分认同ZachXBT的用意,却点出一处具体缺口:许多基于手机的钱包并不支持BIP39密码短语(passphrase)——这是附加在助记词之上的可选额外密钥,用于防范助记词遭物理窃取。相关讨论重新掀起了长期笼罩硬件钱包行业的供应链信任成本之争,涉及范围从山寨币仓位的冷存储,到Aave(AAVE)抵押品的保管。

我们对这场争论的解读是:它与其说关乎某一款设备,不如说关乎单点故障究竟落在何处——而在一个防御性的市场里,这个问题会被进一步放大。COINOTAG的综合数据显示,恐惧与贪婪指数目前处于25/100,即「极度恐惧」区间,比特币市场占有率为69.8%,加密货币总市值约为1.84万亿美元——这类环境在历史上往往促使持有者转向冷存储与长期布局,而非频繁交易。两大阵营对底层的威胁模型并无异议,分歧只在于该守护哪一条信任边界。无论用户守护的是现货BTC仓位,还是一笔逼近历史最高价的浮盈,务实的结论都是:决定性的变量,是助记词纪律与分层托管,而非单一产品的取舍。