核对日期：2026 年 10 月 18 日。本文依据厂商公告与公开研究整理，不是本站对设备做的拆机鉴定，也不据此判定某台设备或某笔失窃的原因。
近期硬件钱包新闻，已经确认了什么？
Ledger 10 月 15 日更新的回应称，部分经东南亚经销渠道流通的真设备被加装了窃取恢复短语的组件。厂商将其描述为离开自身控制后的分销环节攻击，并表示芯片、操作系统与服务器未被攻破。这是厂商对当时调查的说明，不是对所有渠道或设备的独立安全认证。
Tibane Labs 的样本研究描述了一种读取屏幕通信并通过蜂窝网络外传恢复词的植入物。它解释了为什么“不把助记词输入电脑”仍不能补救一台已经被实体改装的设备。样本结论不能直接外推到所有型号与库存；本文不采用尚未统一核实的损失金额或受害者总数。
另一个不同类型的案例是 Coinkite 7 月 30 日公布的 COLDCARD 安全事件：受影响固件削弱了种子生成，攻击者离线推算密钥并盗取资产，并非设备被远程接管。10 月 1 日核验的当前状态页列有型号与固件分支的修复范围；升级固件不等于修复过去生成的受影响种子。相关用户应按原公告核对自己的版本与迁移条件，不要只看本文标题判断。
“硬件钱包被盗”至少有四种不同含义
| 问题发生在哪里 | 普通用户可能看到什么 | 不能当作解决办法的操作 |
|---|---|---|
| 渠道或设备被篡改 | 预设 PIN、异常配件，或者表面完全正常 | 仅恢复出厂设置或升级软件 |
| 种子不安全或备份泄露 | 设备不在身边，资产仍发生转出 | 改设备 PIN 后继续使用相同种子 |
| 签了恶意交易或授权 | 某个代币被转走，其他资产暂时没动 | 只断开网站连接，不检查链上权限 |
| 设备本体丢失 | 无法用原设备签名，但链上资产未必移动 | 把恢复词交给所谓找回客服 |
表中的现象只能帮助分流，不能单凭余额变化确定根因。硬件钱包是签名工具，资产记录在链上；拿到恢复凭证的人可能不需要你的原设备。相反，持有设备也不必然意味着已经拥有资产控制权。
购买之前：先查渠道，再查型号支持
- 从自己核对过的厂商域名开始。查看当前安全公告、暂停销售或召回信息，再查直营或授权渠道。搜索排名、群主推荐和网页上的“官方”两个字都不是授权证明。
- 核对具体卖家，而不是只看购物平台。记录销售主体、发货方、售后入口和订单凭证。产品页相同，不代表实际发货者相同。避免二手、退货翻新、代激活和别人赠送的“升级替换机”。
- 确认自己要用的资产与网络。BTC、以太坊 USDT、TRON USDT 是不同支持需求。查型号、固件、配套软件及第三方钱包的组合，不要只看宣传页上的“支持 USDT”。
- 给自己留出学习时间。先理解备份和恢复，再考虑迁移。不要在看到新闻后匆忙把全部资产转到一台来源不清的新设备。
收到设备后：不涉及秘密的验货清单
可以拍摄物流包装、封条和外壳作为售后凭证；在显示助记词之前停止录像，并移开摄像头。下表可按顺序执行：
| 检查 | 怎么做 | 何时停止 |
|---|---|---|
| 包装与外观 | 对照该型号当前官方图示，检查接口、封条、壳体和配件 | 有拆封、胶痕、明显改装或不明附件 |
| 初始状态 | 确认符合型号官方首次使用流程，备份卡没有预先写好的词 | 卖家提供 PIN、现成助记词或要求代操作 |
| 配套软件 | 自行从厂商入口下载，检查发布者与可用的签名验证说明 | 必须安装卖家的特殊版本、远程控制软件或“修复插件” |
| 设备与固件验证 | 运行官方真实性检查，核对固件提示和安全公告 | 验证失败、来源不明或官方提示该批次需处理 |
| 发现疑点后的处理 | 停止使用，保存非秘密证据，自己打开官方支持工单 | 客服索要恢复词、要求转币到指定“安全地址” |
不同品牌的封条位置和出厂状态不能互相套用。例如 Trezor 的型号检查页分别列出设备包装及初始化要求。检查通过只能降低部分风险，外观完整并不是内部没有被改装的证明。
为什么 Genuine Check 通过，还不能宣布“绝对安全”？
Ledger 的购买与验证说明明确指出：Genuine Check 验证安全芯片的真实性；如果原芯片保持完整，额外的物理植入可能不在检测能力内。它仍是必要检查，但不能替代对供应渠道和实体完整性的判断。
同理，小额转账成功说明那次路径可以到账，并不能证明设备未来不会泄露密钥；不开蓝牙也不等于所有可能的通信路径都被排除。普通用户不要凭网络拆机照片自行下“百分之百真机”的结论，也不要在不了解结构时强拆电池和外壳。疑似设备优先咨询厂商的检测、保全与退换流程。
验货之后，还要完成哪些动作？
- 确认设备可信后，按官方流程创建全新钱包，而不是把已经暴露给日常软件的钱包直接改名为“冷钱包”。
- 完成离线备份检查，再核对设备上显示的完整收款地址与网络。
- 学习正常收发与恢复流程，长期存储地址与高频 DApp 交互钱包分开。
- 如果设备或种子可疑，先按应急流程处理，不在同一可疑设备上“重置后再试”。
下一篇：硬件钱包首次设置与交易所提币教程。已经发生异常：设备丢失、助记词泄露和资产被转走怎么办。也可回到钱包安全专题。
本文不提供设备鉴定、资金追回或安全保证。事件范围可能随调查更新；操作前应复核本文链接的厂商最新公告。