Trezor Safe 7评测：开源自托管硬件钱包

比特币杂志

Trezor Safe 7 评测：开源自由软件（FOSS）自托管硬件钱包

有些硬件钱包致力于打造可由最终用户手工组装的隔离设备，或以自由开源的理念为行业专业人士量身定制。另一些则选择闭源，力求成为硬件钱包界的 Apple 或 Macintosh，通过设计用户护栏来引领行业。Safe 7 似乎让 Trezor 找到了一个折中之道。

这款设备给人的感觉，就像你对现代 iPhone 的期待：金属机身，宽阔的屏幕一直延伸至设备边缘，还有明显经过精心设计、旨在带给用户愉悦感的触觉反馈。Safe 7 能让你产生一种印象、一种体验：比特币是真实存在的，是一种实体之物，而大多数其他钱包都无法做到这一点。

Trezor 也很好地弥合了比特币用户与加密货币用户之间的分歧。它通过提供两种不同的固件版本和设计实现这一点：黑色和绿色的标准多币种版本，以及橙色的比特币专用版本。用户无论订购哪种版本，都可以随时在两者之间切换；但已经明确自己需求的比特币用户可以直接选择橙色版本，无需进行非官方途径的固件升级。无论设备是什么颜色，两类用户都可以按需切换到另一种固件。

不过，这一选择也会带来一些影响；许多固件更新都涉及比特币以外的币种。因此，比特币专用固件更加精简；Trezor 的支持文章对此有直白的说明：“运行比特币专用固件的额外优势包括更新频率更低（与通用固件相比），以及降低出现漏洞或安全问题的风险。”

神奇的助记词

如果你对比特币有一定了解，但从未使用过 Trezor，首先会注意到的是它的助记词数量。Safe 7 为钱包备份提供 20 个助记词，而大多数其他钱包使用 12 个或 24 个。这是 Trezor 多年来持续完善的一项安全设计选择。

名为 SLIP-39 的 20 词标准由 Trezor 于 2019 年首次推出，当时他们宣布了 Shamir 备份功能。Shamir 可以让用户将钱包备份助记词拆分成多个分片；达到指定数量的分片即可恢复比特币钱包，但单独任何一个分片都不足以完成恢复。

例如，采用一个三取二的 Shamir 方案：用户写下三组各含 20 个单词的列表，并将它们存放在不同的物理地点：银行、家中和办公室。无论其中任何一份被小偷发现，还是因火灾或洪水而损毁，都不会造成灾难性的损失。单个分片无法让任何人访问钱包，而另外两个分片则能让所有者重新取得控制权，并将币转移到新的钱包配置中。这种特性通常称为“冗余”，多重签名钱包也能实现这一点，不过需要权衡不同因素，例如链上交易费用。Shamir 备份源自一种历史悠久、广为人知的加密方案，称为 Shamir 秘密分享；Trezor 基于该方案构建了自己的实现。

与更常见的 12 个单词的标准相比，额外的单词并不会为用户带来更多熵；Trezor 明确表示，用户可以预期其熵与 12 词种子相同，均为 128 位。不过，据 Trezor 称，SLIP-39 使用的词表经过精心筛选，以避免出现容易混淆或相似的单词。

SLIP-39 还带来了 BIP-39 不具备的功能：可扩展为 Shamir 方案。最初使用 Trezor 设备创建单个 20 个单词的种子备份的用户，之后可以创建一组冗余的 Shamir 份额，例如五取三。这些份额可以恢复同一个钱包，这意味着用户无需进行链上交易即可转移资金。不过，他们应考虑销毁原来的 20 个单词的单一种子，因为仅凭它也能恢复相关钱包。

Trezor 提供了完整的常见问题解答，感兴趣的用户可以阅读。Sparrow 和 Electrum 等其他钱包也支持 SLIP-39，不过它的普及程度远不及前代标准。

顶级用户体验

Safe 7 充分展现了其在设计和用户体验方面的深度投入，融入了一系列精巧却令人难忘的功能。据我测试这款设备的体验，最具标志性的功能，是它在用户需要作出重要确认时的响应方式，例如签署交易或更改安全 PIN 码。用户需要按住屏幕底部的数字按钮。设备内部的陀螺仪开始缓慢振动，与此同时，两道绿光从按钮处亮起，沿着屏幕边缘流动。绿光在屏幕顶部汇合时，陀螺仪随之加速，在手中带来逐渐增强的机械声响和触感。最后，屏幕边框完全亮起，顶部的小绿灯也随之点亮，确认操作已完成。整个过程只需一两秒，却让原本颇为数字化、抽象的比特币转移体验变得相当真实。

与我测试过的其他 Trezor 产品相比，例如 Model T 和经典款 Trezor One，Safe 7 在设计上显然充分考虑了如何让用户更轻松地使用加密货币。例如，它屏幕上的按键比 Model T 大得多，能减少常见的误触，避免在输入安全 PIN 等操作中造成严重后果。如果用户在大多数硬件钱包上输错此类 PIN，可能会导致更严重的后果，甚至清除设备内存。更大的数字按键尺寸适合手指操作，能减轻这种不必要的压力。金属外壳无疑也让 Safe 7 显得更加成熟，摆脱了旧款机型的塑料外壳。

界面中有一个颇为特别的功能：“擦除 PIN”（Wipe PIN）。这是一种特殊的 PIN 码，在设备登录时输入后会删除用户数据。Trezor 的公开文档并未充分解释这一功能；文档提到了它的作用，却没有说明它的目的：它旨在应对什么风险或威胁？适用于什么场景？更加谨慎的比特币用户曾要求加入此类功能，以应对发生概率低但后果严重的情况，例如臭名昭著的“扳手攻击”——窃贼胁迫用户打开钱包，以盗取其中的资金。

Trezor 的清除 PIN 存在一个问题：它会让人很容易看出你刚刚删除了钱包内容，而在这种情况下，扳手攻击者恐怕不会对此感到满意。至少有另一款硬件钱包实现了更精巧的这一功能：删除主用户的钱包，同时打开第二个“诱饵”钱包，而且不会通过用户界面暴露这个把戏。对于我们这些谨慎到会考虑此类情况的人来说，更先进的清除 PIN 会很受欢迎。

Safe 7 还支持蓝牙连接，并内置电池，可通过 Qi2 无线充电器充电。用户也可以通过 USB-C 连接使用该设备，并在设置中关闭蓝牙。这种替代操作模式让用户摆脱线缆束缚——这是另一个细微却有力的设计选择，能减轻交易签名过程中的额外压力。比特币的支出不可篡改且不可逆，本就让每次签名决策都至关重要。对于更谨慎的用户来说，如果能为蓝牙天线配备一个硬件关闭开关就更好了。

气隙隔离原则

在 Safe 7 之前，Trezor 的任何型号都没有内置电池或蓝牙。为设备加入这类技术是一项重大决策：它能大幅满足更广泛的消费者对现代硬件的期待，但也会带来一些潜在风险。

众所周知，许多此类设备中的内置电池会随着时间推移而发生故障，从硬件钱包到手机皆是如此，电池可能膨胀并撑破外壳。这可能造成危险，也可能损坏设备内存或使设备无法使用。Trezor 对此作出回应，称他们选择了 LiFePO₄ 电池，因为这种电池的“化学性质比常见的锂离子电池更加稳定、安全”。在其文档中，他们声称“电池膨胀的可能性极低”。

与此同时，集成蓝牙意味着加入一套大体上闭源的软件和硬件栈，使设备能够在一定距离外进行交互，这削弱了比特币冷存储所遵循的隔离网络原则。为了解决这个问题，Trezor 等硬件制造商尝试将蓝牙天线隔离，并仅用它来发送端到端加密的消息。为此，Trezor 开发了 Trezor 主机协议，这项技术会对传输中的数据进行加密，以便将其发送到用户的电脑；通过 USB-C 线缆连接时也会使用该协议。Trezor 不会信任 USB 线缆或蓝牙协议栈来处理未加密的数据。

尽管如此，这种无线连接可以说使 Safe 7 不再属于比特币钱包中的隔离网络或冷存储类别，而更接近一款高安全性的温钱包；热钱包则可以是连接互联网并持有私钥材料的一般计算机或服务器。

硬件概览与熵

不过，如果冷卡（Coldcard）遭黑客攻击这件事教会了我们什么，那就是：没有优质熵，冷存储便毫无意义。熵本应是用于在密码学中创建秘密的随机且不可预测的输入，例如掷骰子 100 次并记录结果。骰子的点数就是熵，它会经过密码学算法处理，生成私钥和公钥对，也就是种子词。

Trezor 有一篇全面而深入的文章，介绍他们如何生成和使用熵来创建钱包密钥对。在 Safe 7 中，他们使用四种熵源：

• 主机电脑或手机提供的熵。
• STM32 微控制器中的硬件 TRNG（真随机数生成器）——这是 Trezor 的一款电脑芯片。
• Optiga 安全元件，也就是 Trezor 硬件中的第二款电脑芯片。
• TROPIC01，这是他们最新推出的“可独立审计”的安全元件芯片。

生成钱包时，这四种独立的熵源应当会合并使用。负责处理这一逻辑的固件采用 GPL 3 开源协议。

目前，Trezor 尚未支持用户输入自行生成的熵来创建钱包。用户无法掷骰子，不过可以为已创建的账户密钥对添加“密码短语”或“第 25 个词”，这能起到类似的作用。

Trezor 首席技术官 Tomas Susanka 在与 Efrat Fenigson 的交谈中解释说，只有当代码实际使用用户生成的熵时，它才有意义。他指出，Coldcard 的漏洞并非硬件生成熵出了问题，而是由于一个 bug，固件未能在软件实现中使用这种高质量的熵。

Trezor 首席商务官 Danny Sanders 也表达了类似看法，不过他告诉《Bitcoin Magazine》，关于用户添加熵的话题“已经讨论过很多”，并补充说“也不是完全不行”。相反，Trezor 的用户群体更广泛；据 Sanders 所说，其规模是 Coldcard 的“好几倍”，而“不能要求他们掷骰子”。他还补充说，“光是抄下那些词，他们就已经不堪重负了”，这里指的是 20 个单词的助记词备份。当其他机器熵来源得到妥善使用时，用户添加熵带来的安全收益微乎其微。

来源：BitcoinMagazine