مراجعة Trezor: المحفظة العتادية مفتوحة المصدر الأصلية، بعد عقد من الزمن

أطلقت Trezor، من تصميم الشركة التشيكية SatoshiLabs، جهاز Trezor One عام 2014 — الذي يُنسب إليه على نطاق واسع كونه أول محفظة عتادية مخصصة تُباع على الإطلاق. تضم التشكيلة الحالية ثلاث فئات: Trezor Safe 3 الاقتصادية (59 دولارًا، شاشة أحادية اللون، أزرار مادية)، وTrezor Safe 5 متوسطة الفئة (129 دولارًا، شاشة لمس ملونة 1.54 بوصة، زجاج Gorilla Glass، فتحة MicroSD للنسخ الاحتياطي)، وTrezor Safe 7 الرائدة (249 دولارًا، شاشة لمس ملونة 2.5 بوصة، بلوتوث 5.0+، شحن لاسلكي Qi2، هيكل ألومنيوم، تصنيف IP54). تتصل الأجهزة الثلاثة عبر USB-C وتعمل مع تطبيق Trezor Suite المجاني على الحاسوب أو أندرويد أو المتصفح.

لم تتغير السمة المميزة لـ Trezor منذ عقد: كل من برمجيات الجهاز الثابتة وتطبيق Trezor Suite مفتوحا المصدر بالكامل، ومنشوران على GitHub ليراجعهما أي شخص. ما تغيّر هو العتاد: يأتي كل طراز حالي الآن بشريحة أمان معتمدة EAL6+، وهي نفس درجة الاعتماد المستخدمة في بطاقات البنوك EMV وشرائح الهوية الحكومية، ما يعالج الانتقاد التاريخي القائل إن طُرز Trezor الأقدم كانت تعتمد على متحكم دقيق عام الغرض دون شريحة أمان مخصصة.

يتضمن كل طراز في تشكيلة Safe 3/5/7 الحالية شريحة أمان معتمدة EAL6+، تخزّن المفاتيح الخاصة في عتاد مقاوم للعبث ومعزول عن الشريحة العامة الغرض التي تشغّل البرمجيات الثابتة مفتوحة المصدر. يذهب الطراز الرائد Safe 7 إلى أبعد من ذلك بشريحة TROPIC01 الأمنية الخاصة بـSatoshiLabs إلى جانب الشريحة المعتمدة — تصميم تصفه الشركة بأنه مبني خصيصًا ليكون قابلًا للتدقيق المستقل، تماشيًا مع فلسفة Trezor مفتوحة المصدر.

يعتمد الاسترداد على عبارة استرداد قياسية BIP39 من 12 أو 24 كلمة، مع حماية اختيارية بعبارة مرور لإنشاء محافظ مخفية؛ وتدعم Trezor أيضًا النسخ الاحتياطي Shamir (SLIP39)، الذي يقسّم عبارة الاسترداد إلى عدة أجزاء مستقلة بحيث لا يكفي أي جزء بمفرده لإعادة بناء أموالك. وبفضل كون البرمجيات الثابتة والتطبيق مفتوحَي المصدر، تمكّن الباحثون الأمنيون ومصنّعو المحافظ المنافسون من تدقيق كود Trezor لأكثر من عشر سنوات — أحد أطول سجلات الفحص العلني المتواصل في هذا المجال.

يتضمن السجل الأمني للجهاز نتيجة موثقة جيدًا من عام 2020: أظهر باحثون في مختبر أمن عتادي هجومًا باضطراب الجهد الكهربائي قادرًا على استخراج عبارة الاسترداد من أجهزة Trezor One/Model T السابقة، شريطة حيازة مادية ممتدة ومعدات مختبرية — وليس اختراقًا عن بُعد. تتمثل معالجة Trezor في عبارة مرور قوية، تحافظ على أمان الأموال حتى في حال تعرّض الجهاز ماديًا للاختراق. بشكل منفصل، كشفت Trezor في أغسطس 2026 أن ShipMonk، مزوّد تنفيذ الطلبات الخارجي لديها، تعرّض لاختراق كشف بيانات شحن نحو 14,000 عميل؛ وأكدت Trezor أن لا أموال أو أجهزة أو برمجيات محفظة تعرّضت للاختراق، لكنها حذّرت المستخدمين المتأثرين من توقع موجة من محاولات التصيّد الاحتيالي باستخدام بيانات الاتصال المسرّبة.

تمتد تشكيلة Trezor ثلاثية المستويات من نقطة دخول ميسورة التكلفة فعلًا إلى طراز رائد لاسلكي متميز، مع نفس شهادة الأمان الأساسية عبر كل المستويات.

يدعم تطبيق Trezor Suite (تطبيق سطح المكتب، تطبيق الويب، ومرافق أندرويد) آلاف العملات والرموز أصليًا، مع Bitcoin وEthereum وسلاسل EVM الأخرى في الصدارة؛ ويمكن الحصول على تغطية أوسع متعددة السلاسل بربط Trezor كجهاز توقيع مع محافظ خارجية مثل MetaMask أو Electrum أو MyEtherWallet، وهو نمط شائع في هذا المجال للمحافظ التي لا تسعى لدعم كل سلسلة أصليًا بنفسها.

تشمل الميزات المدمجة لوحة تحكم للمحفظة، وتبادل/مبادلة عملات داخل التطبيق عبر مزوّدين خارجيين مدمجين، وما يميّزه عن معظم المنافسين، خيار اتصال Tor أصلي داخل Trezor Suite لمن يريد توجيه حركة بيانات محفظته عبر شبكة Tor لخصوصية إضافية على مستوى الشبكة.

مقابل Ledger: تبقى برمجيات شريحة الأمان في Ledger مغلقة المصدر، وهو انتقاد مجتمعي متكرر منذ زمن طويل، بينما تنشر Trezor البرمجيات الثابتة والتطبيق منذ اليوم الأول. تتمتع Ledger بثقة علامة تجارية أكبر وكتالوج أصول/تطبيقات أوسع، وقد تعرّضت لاختراق قاعدة بيانات عملاء أكبر بكثير عام 2020 (أكثر من مليون بريد إلكتروني ومئات آلاف العناوين المادية) — نقطة مقارنة مفيدة مقابل حادثة Trezor الأصغر حجمًا في أغسطس 2026.

مقابل OneKey (تمت مراجعتها أيضًا على هذا الموقع): كان خطاب OneKey دائمًا "مفتوحة المصدر مثل Trezor، ومحصّنة بشريحة أمان مثل Ledger" — ردًا مباشرًا على أن طُرز Trezor الأقدم كانت تُشحن دون شريحة أمان معتمدة. تحمل أجهزة Trezor من الجيل الحالي (Safe 3/5/7) الآن شهادة EAL6+ عبر كامل التشكيلة، ما يسدّ تلك الفجوة، مع الاحتفاظ بسجل علني أطول بعقد كامل وسعر دخول أقل (59 دولارًا مقابل 79 دولارًا لطراز Classic 1S Pure من OneKey).

اختراق بيانات أغسطس 2026 حديث وحقيقي. حتى مع صحة قول Trezor إن لا جهاز أو برمجية محفظة تأثرت، أصبح لدى نحو 14,000 عميل الآن أسماؤهم وعناوينهم وبيانات الاتصال الخاصة بهم بين يدي من حصل على بيانات ShipMonk — وهو خطر تصيّد احتيالي، بل واستهداف مادي محتمل، يستحق أن يُؤخذ على محمل الجد لا أن يُهوَّن من شأنه.

استغرق "مفتوح المصدر" عقدًا كاملًا ليشمل شريحة أمان معتمدة. لسنوات، كانت إجابة Trezor على سؤال "لماذا لا توجد شريحة أمان؟" هي أن البرمجيات الثابتة مفتوحة المصدر تشكّل بذاتها دفاعًا كافيًا. لم يتفق المنافسون وبعض الباحثين الأمنيين مع ذلك، ويعترف عتاد Trezor الحالي جزئيًا بوجهة نظرهم بإضافته شريحة أمان.

الهجمات المادية ليست نظرية بحتة. أُجري بحث اضطراب الجهد الكهربائي عام 2020 في مختبر احترافي، لا من قِبل مهاجم عشوائي، لكنه أثبت أن العتاد آنذاك كان قابلًا للاختراق مع وصول مادي ممتد — تذكير بأن "مفتوح المصدر" و"غير قابل للاختراق ماديًا" ليسا الادعاء نفسه.

لا يزال دعم iOS متأخرًا. تبقى التجربة الأكمل لتطبيق Trezor Suite مرتكزة على سطح المكتب أو أندرويد؛ ويحصل مستخدمو آيفون على مجموعة ميزات أقل نسبيًا مقارنة بتطبيقات iOS الأصلية لبعض المنافسين.

هذه ليست أول حادثة مرتبطة بالتصيّد الاحتيالي لدى Trezor. تلا تسريب بيانات سابقًا مرتبطًا بنشرة بريدية نحو عامَي 2020-2021 موجة من محاولات التصيّد الاحتيالي ضد مستخدمي Trezor أيضًا — نمط يستحق معرفته إن كنت عميلًا قديمًا وتتلقى رسائل "أمنية" غير متوقعة.