硬件钱包横评 · Ledger / Trezor / OneKey

为什么再做一遍横评

市面上的硬件钱包横评，多数有两个毛病。一是参数表抄了官网就交差，不讲各家的设计取舍和出过的事；二是结论永远是"三款都不错，看个人喜好"——这种话等于没说。

这篇把 Ledger Nano X、Trezor Safe 3、OneKey Pro 放在一起，想回答几个问题：传得最凶的那些争议，到底有没有影响日常使用？开源到底是道德姿态，还是真能省事？国产做工到底追上来没有？

文中的评分和取舍，是我根据公开资料给的个人判断。每一家的优点我会讲，缺点我也敢讲。如果你看完之后觉得有哪个地方判断错了，欢迎写邮件来告诉我，我会更新到正文里。

对比依据 · 资料从哪来

先把依据交代清楚。横评最怕口径不对等，结论就跑偏。

• 规格与价格：以三家官网的产品页和定价为准，2026 年 9 月对照官网复核过一遍。
• 固件与开源：看各家官方的更新日志、公开代码仓库和安全公告。
• 历史事件：以厂家的官方公告和事发时的公开报道为准。
• 使用体验：客户端流程、连接方式参考官方帮助文档，再结合公开评测和用户社区里反复出现的反馈。

这套依据不能说毫无遗漏，手感、客户端稳不稳这类体验，别人的反馈也代替不了你自己上手。但比只对着一张参数表说话，更能看出各家的取舍。下面进入正文。

Ledger · 名声最大，争议也最多

Ledger 是这三家里名气最大的。2014 年成立，官网首页写的是已售出 800 多万台设备（2026 年 9 月核对）。它名声大，但麻烦也最多。

2020 年的那次数据泄露

2020 年 7 月，Ledger 公司一个营销数据库被外泄，约 27 万条客户姓名、邮箱、电话、邮寄地址流出。这件事最直接的后果不是钱被偷 —— 硬件钱包本身没受影响 —— 而是这 27 万人后来收到了大量"Ledger 官方助记词验证"的钓鱼邮件和短信。截至 2026 年初，论坛上仍能找到当年泄露名单里的人，几年后还在被同一波信息骚扰。

这件事 Ledger 公司事后做了道歉和补救，但有一个事实没法挽回：硬件钱包厂家手里的客户清单本身就是高价值靶子，而 Ledger 当年把营销数据和敏感数据混着放在了同一个 SaaS 工具里。我现在依然推荐用一个独立邮箱去注册硬件钱包，原因就是这件事。

2023 年 Recover 服务的争议

2023 年 5 月，Ledger 推出了一项叫 Ledger Recover 的可选服务：用户授权后，设备会把私钥分成三份加密碎片，分别托管在三家第三方机构。社区炸了 —— 因为这意味着固件层面是存在"导出私钥"的路径的，过去 Ledger 一直宣称"私钥不出 Secure Element"，这个承诺被部分动摇。

Ledger 的官方解释是：Recover 是选择性开启的可选服务，不开启就完全不影响。但争议的核心从来不是这个 —— 而是"固件层面留了这条路"本身。如果未来某天 Ledger 被政府要求强制开启，怎么办？这个问题 Ledger 官方没有正面回答过。

固件闭源的现实代价

Ledger 的固件至今没有完全开源，Secure Element 部分使用了带 NDA 的芯片。这意味着两件事：第一，社区无法独立验证固件里到底有什么；第二，固件升级出问题时，没有第三方实现可以做对照。

闭源不一定会让你在日常使用里吃亏。但它意味着 Ledger 每出一版新固件，稳妥的做法是先观望一周，看社区有没有翻车反馈。这种"被动等待"的状态，是闭源带来的隐性税。

当前实际安全水平：还可以

说完缺点，得给个公道。Ledger Live 客户端的体验是三家里最成熟的，跟第三方钱包和应用的生态对接也广。Secure Element 芯片本身（CC EAL5+ 认证）抗物理攻击的能力，目前公开记录里没有被破解过。如果你需要的就是一个"日常用着顺手、出厂安全水位不掉队"的硬件钱包，Ledger 仍然在第一梯队。

但我不建议把全部仓位都放在它一个上面 —— 这跟它本身关系不大，任何单一厂家都不该被全盘信任。

Trezor · 全开源，但做工和客户端有短板

Trezor 是这三家里"道德分"最高的。捷克公司 SatoshiLabs 2013 年做出来全球第一台硬件钱包，硬件设计图和固件代码至今完全公开，任何人都能在 GitHub 上看到。

开源到什么程度

Trezor 的开源不是给个 SDK 应付了事。固件、引导程序、PCB 设计、外壳模具尺寸 —— 几乎全公开。社区里有团队基于这套设计自己 DIY 过 Trezor 兼容设备并跑通过主网交易，这是 Ledger 和 OneKey 都做不到的。

开源带来的好处不是"我能看懂代码"（绝大多数人看不懂），而是"出问题时有人能看懂"。2022 年到 2024 年之间，Trezor 固件被研究人员公开报过几次漏洞，每一次都能在公开 issue 里追溯到补丁过程。这种透明，对想自己核实安全性的人来说，是真有用的。

两个按键加一块小单色屏

Trezor Safe 3 没有触摸屏。官网写的是 0.96 英寸单色 OLED 屏、128×64 像素，操作靠两个物理按键，交互方式跟 Ledger Nano 系列差不多：翻选、确认，一步一步来。长地址要翻几屏才看完，输入东西也比触屏慢。

好处是结构简单、不会误触。PIN 和 passphrase 都在设备本身上输入，不经过电脑键盘，电脑上的键盘记录拿不到。官网标的安全芯片是 EAL6+ 认证等级。

Shamir Backup · 一个被低估的功能

Trezor Safe 3 原生支持 SLIP-39 Shamir Backup，也就是把助记词切成 N 份，需要其中 M 份才能恢复（比如切 5 份，3 份就能恢复）。这跟 Ledger Recover 不同的地方在于：碎片完全由用户自己保管，可以分给家人、放保险箱、埋深山，厂家完全不参与。

这个功能对家庭传承场景特别合适。比如把其中一份分片交给父母保管，他们不必懂这是什么，只要知道这是一张要收好的纸。

缺点也得讲

第一是做工。Trezor Safe 3 外壳主体是塑料（官网写的是 PMMA），背板是阳极氧化铝，整体仍以塑料为主。这不影响安全，只是对讲究手感的人不太加分。

第二是多链支持。官方客户端里能直接管理的链有限，部分链需要走第三方钱包（比如 Electrum、MetaMask）做中转，链多了之后体验有点割裂。

第三是 Trezor Suite 客户端的稳定性。用户社区里不时有人反映 Suite 卡在"正在同步"界面下不来，常见的处理办法是重装客户端。问题不致命，但第一次碰到容易慌。

OneKey · 本土化做得最细，生态短板明显

OneKey 是国产品牌，2019 年成立，比海外两家晚了五六年。但把规格和文档摆在一起看，必须承认它在某些维度上确实做得比海外两家细。

本土化体验

客户端中文翻译质量是三家里最自然的 —— 这不是说翻译"信达雅"，而是说它真的考虑了中文用户的使用习惯。Ledger Live 的中文是机翻味很重的"加密资产管理工具"，OneKey 直接叫"管理钱包"，更接近日常说法。

客服也是。OneKey 有中文社群和中文支持，按国内作息响应。Ledger 和 Trezor 的官方支持以英文工单为主，中文用户提问往往要等欧洲工作时间才有人看。

Air Gap 模式 · 二维码完全离线签名

OneKey Pro 主推的卖点之一是 Air Gap：用这个模式签名时，设备不连 USB、不连蓝牙，所有交易通过二维码完成。手机端 App 生成未签名交易二维码 → 钱包扫码 → 钱包显示二维码 → 手机扫回 → 广播。签名这一步不经过任何有线或无线的数据通道。

这种模式 Keystone 也做，但 OneKey 把它做到了主流产品线里。从风险隔离角度看，这是比"USB 连接的硬件钱包"再高一档的安全水位 —— 代价是签每一笔交易要扫两次码，比插 USB 慢得多。

开源：官网说固件和 App 都公开

按 OneKey 官网的写法，固件和 App 都在 GitHub 上开源，支持可复现构建，并由慢雾（SlowMist）做过独立审计。这比 Ledger 透明得多；跟 Trezor 连硬件设计图都公开的做法比，公开的范围不完全一样，在意这一点的可以去两家的 GitHub 仓库对照着看。

缺点也讲清楚

第一是生态。OneKey 的客户端对国内主流链（如 TRON、BNB Chain）支持很到位，但对一些海外冷门链（比如 Cosmos 生态某些项目、Polkadot 平行链）支持不如 Ledger 全。

第二是品牌历史短，目前没有经历过一次真正大规模的危机事件考验（不像 Ledger 经历过 2020 数据泄露、Trezor 经历过 2022 钓鱼邮件事件）。"没出过事"不等于"出事时能扛住"，这个观察期我个人还想再拉长两三年。

第三是部分用户对国内品牌存在天然的信任门槛。这不是产品本身的问题，但是真实存在的市场反馈。

对比表一 · 硬件配置与价格

以三家当前各自的主力产品做对比：Ledger Nano X、Trezor Safe 3、OneKey Pro。参数和价格按厂家官网产品页的写法，2026 年 9 月核对；价格写的是官网美元标价，官网页面没直接标出的写「以官网为准」。

项目	Ledger Nano X	Trezor Safe 3	OneKey Pro
安全芯片	ST33J2M0（CC EAL5+）	OPTIGA Trust M（CC EAL6+）	4 颗 EAL6+ 安全芯片
屏幕	1.1 英寸单色 OLED（128×64）	0.96 英寸单色 OLED（128×64），双按键	3.5 英寸彩色触屏
连接方式	USB-C / 蓝牙	USB-C	USB-C / 蓝牙 / NFC / 二维码 Air Gap
电池	有（官网标续航 5 小时）	无	有（530 mAh）
Shamir Backup	不支持	支持（官网叫 Multi-share Backup）	支持（固件 4.15.0 起）
开源程度	部分开源	全开源	固件与 App 开源（官网写法）
支持资产（官网写法）	数千种币、代币和 NFT	数千种币和代币	30,000+ 币种、100+ 条链
官网价格（美元）	以官网为准	59 美元	278 美元

这张表只看参数。参数好不等于体验好，下一张表是六维度评分。

对比表二 · 六维度评分

下面这张表是我按规格、官方文档和各家的设计取舍给的主观评分，10 分制，不是实测打分。每个维度都标了打分理由。2026 年 9 月按官网规格订正了 Trezor Safe 3 的屏幕参数，"屏幕与交互"和"性价比"两格跟着改了分。

维度	Ledger	Trezor	OneKey	打分逻辑
开源程度	5	10	7	Trezor 连硬件设计都公开；OneKey 官网称固件与 App 开源；Ledger 仅 SDK 开
安全审计	8	8	7	Ledger SE 经多次第三方审计；Trezor 有公开漏洞修复史；OneKey 公开审计较少
屏幕与交互	3	3	9	Ledger Nano X 与 Trezor Safe 3 都是小单色屏加两个按键；OneKey Pro 是 3.5 英寸彩色触屏
多链支持	9	6	8	Ledger 客户端和第三方应用生态对接广；OneKey 官网列的币种多、中文圈主流链覆盖好；Trezor 部分链需第三方
售后响应	6	7	9	OneKey 有中文社群和中文支持；Trezor、Ledger 以英文工单为主，要等欧洲工作时间
性价比	8	8	6	Ledger 带蓝牙和电池、功能多；Trezor Safe 3 官网标价三家里最低，功能精简；OneKey Pro 价高但屏好、连接方式多
综合	6.5	7.0	7.7	差距不大，三家都在 6.5 到 8 分之间

看到综合分接近，不要急着下结论。Trezor 的分数主要拿在"开源 + 审计透明 + 价格"上，OneKey 拿在"屏幕 + 售后"上，这是两种完全不同的产品哲学。下一节讲怎么根据自己怕什么来选。

但在那之前，先讲一种常见的"假故障" —— 这种事光看参数表是看不出来的。

示意 · macOS 上一种常见的"假故障"

这件事跟 Ledger 本身没有关系 —— 同样的中间件拦截，换成 Trezor、OneKey 一样会出问题。它说明的是：硬件钱包的安全水位，不止取决于钱包本身，也取决于你接它的那台电脑。

怎么选 · 三种用户三种答案

讲完三家的优缺点，到了"那我到底买哪个"的问题。我的回答是 —— 看你最怕什么。

如果你最怕"厂家手里留了后门"

选 Trezor。理由：它的开源连硬件设计都算在内，你（或社区里懂代码的人）能真正去验证"固件里有没有什么我不知道的东西"。Ledger Recover 那种"固件留了一条可选路径"在 Trezor 上不会发生 —— 因为代码摆在那儿，谁都能看。

缺点你要接受：塑料外壳为主、客户端偶尔卡顿、不少链要借第三方钱包。

如果你最怕"中文客服找不到人、买回来不会用"

选 OneKey。理由：中文文档完整度、客服响应速度、本土主流链支持都是三家里最好的。新手第一台硬件钱包，遇到不懂的能找到人问、能看懂回答，这件事比"开源程度"重要得多。

Air Gap 模式如果你愿意接受签每笔交易扫两次码的麻烦，是这三家里安全水位最高的方案。

缺点你要接受：海外冷门链支持稍弱、品牌历史只有 7 年（相比 Ledger 12 年、Trezor 13 年）。

如果你最怕"我不想折腾，给我个稳的"

选 Ledger。理由：客户端最成熟、生态对接广，跟主流交易所和 DApp 配合起来省心。日常使用里你大概率不会遇到任何卡壳。

缺点你要接受：闭源带来的"信任溢价"、2020 数据泄露的历史包袱、Recover 服务带来的固件可疑性。这些事如果你能接受"硬件钱包只是我多重防线里的一环"，那 Ledger 仍然好用。

预算允许的话 · 一种分设备的思路

举个例子，三台可以这样分：主仓位放 Trezor（搭 Shamir Backup 分给家人），日常小额签名用 Ledger（生态对接广、连得快），新链尝鲜放 OneKey（中文社区更新快）。三台分用，互不重叠。这样做的代价是要管三套助记词、三套备份 —— 不轻，但分散单点故障的好处明显。

如果只买一台，我的建议次序是：技术背景强的选 Trezor，第一次买硬件钱包的选 OneKey，想要生态对接省心的选 Ledger。三家出了新品或出了事，这个排序也会跟着调整。

收尾 · 硬件钱包是底线不是上限

写这篇文章的过程里，我反复提醒自己一件事 —— 硬件钱包不是万能的。

它能挡住的，是远程攻击和大多数恶意软件。它挡不住的，是你被骗子诱导亲手签了一笔授权交易、是你把助记词截图发给"客服"、是你在一台被监控的电脑上恢复钱包、是你把硬件钱包丢在出差酒店忘了取走。

三家比来比去，最后能保住钱的不是设备型号，而是使用者的判断力。Ledger 也好、Trezor 也罢、OneKey 也行 —— 任何一台都比"币留在交易所"或"私钥存 iCloud 备忘录"安全得多。

所以这篇横评的真实价值，不是帮你挑出"最好的那一台"，而是帮你避免在错误的理由下做了错误的决定。比如，因为听人说 Ledger 有"后门"就慌着卖掉再换 Trezor —— 没必要；比如，因为 OneKey 是国产就连看都不看 —— 也没必要。

预算紧的话，这三款里 Trezor Safe 3 的官网标价最低；Ledger 也有更便宜的 Nano S Plus（价格以官网为准）。便宜版本不影响核心安全。最怕的是因为价格纠结半年，钱一直留在交易所 —— 那才是真正的损失。

"冷"和"热"的真正含义，另一篇《冷钱包 vs 热钱包 · 真正的差别在哪》专门写了 —— 你会发现，硬件钱包接上 USB 那一刻，它也可以变成热钱包。