存储涨疯了，安全却在裸泳

同一个存储产业，最近上演了两出截然不同的戏。

一出是狂欢：长鑫科技前三季度净赚132.04亿元，DRAM供不应求，AI服务器客户排队抢货。另一出是塌方：联想ThinkPlus的指纹识别U盘，宣称AES-256硬件加密，拆开一看——数据明文躺在一张SD卡上，指纹模块只是个电源开关。

一边是钱景无限，一边是安全裸奔。这两件事放在一起看，比单独看任何一件都更有意思。

📉 指纹U盘的「加密」，约等于一层贴纸

安全产品的溢价，建立在用户的想象之上。

故事要从研究员 Xusheng Li 的一次拆解说起。据安全研究博客 HackingPassion 2026年1月下旬发布的报告，这位研究员在2025年拆解了 联想ThinkPlus FU100 指纹识别U盘——一款宣称采用 AES-256 硬件加密的安全存储产品。拆开之后，他在内部电路板上看到的，是一张再普通不过的SD卡。

卡上的数据完全明文存储，没有任何加密。

更微妙的是那枚指纹识别器的角色。它并不参与任何加解密运算，唯一的功能，是决定U盘是否与电脑接通。换句话说，指纹锁锁的不是数据，是「通电」。绕过它的人不需要破解密码，只需要把SD卡从电路板上取下来，插进读卡器，文件一览无余。

这件事的荒诞之处在于产品定位。指纹加密U盘卖的就是「安全」二字，价格通常数倍于同容量的普通U盘。用户以为买到的是一块带保险柜的存储介质，实际拿到的是一间没上锁的屋子，门口装了个感应门铃。

从产业逻辑看，这类产品的风险结构其实写在BOM表里。指纹传感器、主控、SD卡槽——要做真正的硬件加密，需要独立的安全芯片来保管密钥、执行加解密，成本高出一截。而「指纹控制通断」的方案，硬件成本几乎与普通U盘无异，却可以理直气壮地挂上「加密」标签卖出溢价。本文无法核实具体厂商的设计决策流程，但FU100的实际拆解结果本身，就是「加密」被做成用户可感知的交互、而非数据层面可验证的保护的直接例证。

用户感知的，是插上电脑要按指纹的仪式感；数据层面可验证的，是拿胶水封住的SD卡。两者之间的落差，就是这次漏洞的全部真相。

🔍 TSD303 的修复，修了个寂寞

加密了数据，没加密答案。

如果说FU100的问题是无加密，那 ThinkPlus TSD303 指纹识别外置SSD的问题则更值得全行业咀嚼——因为它真的做了加密，还是输了个彻底。

TSD303内部用的是标准尺寸的M.2 SSD，数据确实经过加密，硬件层面没有偷工减料。问题出在验证环节：当电脑上的联想程序请求密码时，硬盘会通过USB数据线明文返回正确密码。任何能够监控通信数据、或者读取这台电脑上程序的人，都能直接拿到密码。锁是好的，钥匙挂在门把手上。

研究员提交漏洞报告三个月后，联想发来了测试修复版本。新版本不再发送明文密码，改为发送一段加密数据。研究员最初以为这是密码的哈希值，随后用调试器追踪这段数据的来源，最终发现它来自 SM4 加密算法——一种与AES类似的分组密码。

故事到这里本该翻篇，但转折在于密钥的生成方式：它由一个看起来像时间戳的数值推导而来。测试中，这个密钥是 2021012700000000。由于程序本身能够推导出这个密钥，能够拆解程序的人同样可以做到。修复版堵住了明文传输的口子，却保留了「密钥可推导」这个根子上的问题。

这件事暴露的是一个更普遍的认知误区：很多厂商把「用了加密算法」当成「安全」本身。但密码学的常识是，算法公开不构成风险，密钥管理才是命门。SM4、AES都好，密钥写在时间戳里，等于保险柜的密码刻在柜门上。

对采购方——尤其是政企用户——来说，这是最值得划重点的一课：采购加密存储设备时，问的应该是「密钥存放在哪、如何生成、能否被推导」，而不是「支不支持AES-256」。参数表上的算法名称，从来不是安全性的证明。

📋 一场迟到五个月的补救

安全响应的速度，丈量着厂商对安全的真实优先级。

把时间线摊开看（依据联想安全公告 LEN-210545 与 HackingPassion 报告），这次事件的处理节奏耐人寻味：

从2025年8月收到报告，到2026年1月13日才发布安全公告 LEN-210545，中间隔了约五个月；而漏洞技术细节公之于众，又是在公告发布约两周之后。这期间，不知有多少明文存储的U盘，正在会议室、出差包和机房抽屉里继续「加密」着敏感文件。

公告本身是规范的。漏洞评级为高危，列出三个CVE编号，覆盖了从硬件到软件的完整链条：

处置方案也算周到：FU100用户可拨打联想中国服务热线 +86 400-640-1886 申请免费升级，联想核对设备序列号后，安排寄回更换或工作人员上门升级固件。TSD303的第二版修复于2025年12月推出，硬盘改为自行验证密码，不再依赖外部程序。

但把整个事件连起来看，产业层面的问题比单个产品更扎眼：FU100的临时修复方案，是往SD卡上覆盖一层环氧树脂——增加拆卸难度，而不是增加解密能力。用胶水解决安全问题，这个画面本身就是行业现状的隐喻：安全是被「补」出来的，而不是被「设计」进去的。

还需要指出的是，这类主打「安全概念」的百元级配件，往往由代工与贴牌体系产出，能分到的安全工程资源天然有限——这一点属于行业普遍现象的合理推断，而非本次事件的已证实事实。而恰恰是这类产品，挂着主品牌的招牌卖给了最信任品牌的那批用户。

值得注意的是，这次被公开披露的不止联想一家：朗科、KakaSoft、Nexcopy、御天盾 四家厂商的USB驱动器同样存在安全漏洞。安全研究者顺手掀开了一整个品类的锅盖。

🚀 另一边，存储在躺赚

同一个存储产业，上游在数钱，下游在漏底。

2025年10月30日晚，长鑫科技发布2025年第三季度报告（数据来源：上交所公告）：2025年前三季度实现营业收入269.02亿元，同比增长738.51%；归属于上市公司股东的净利润132.04亿元，同比扭亏为盈。仅第三季度，营收就达到118.71亿元，同比增长613.18%，单季归母净利润54.44亿元。

这组数字放在任何行业都是炸裂的，放在DRAM行业却是教科书式的周期兑现。长鑫科技在三季报中给出的解释非常直白：全球DRAM产品供不应求，销售数量和销售价格大幅上涨，叠加单位成本下降，毛利大幅上升。

更值得玩味的是长鑫管理层在业绩说明会上的表态：长协工作进展顺利，已与多家头部客户协商长期供货协议，锁定中长期确定性需求，目标是成为人工智能时代核心的内存制造商。展望四季度和明年，服务器客户的强劲需求仍在，DRAM供不应求的态势将延续，营收预计继续保持增长。

翻译一下：这轮由AI驱动的DRAM超级周期，厂商不打算只吃一波红利。通过长协把未来几年的需求和价格提前锁死，把周期波动的不确定性转嫁给下游——这是存储原厂在景气顶点最标准的打法。三星、SK海力士在历史上的每一轮周期里都这么干过，这一次轮到了国产原厂坐上牌桌。

对下游的PC、手机、服务器厂商而言，这意味着什么不言自明：未来很长一段时间，内存成本会像悬在BOM表上的一把刀。谁能在涨价周期前锁定供应，谁就能在终端市场保住毛利。

⚖️ 同一个产业的两副面孔

景气掩盖一切问题，也放大一切问题。

把两件事放进同一张地图里看，位置就很清楚了：

长鑫这类DRAM原厂站在第一象限：高技术门槛、高商业价值、供不应求。而ThinkPlus加密U盘这类产品，恰恰落在技术门槛与商业价值都偏低的区间——却又顶着「安全」的高溢价标签。这个错位，就是漏洞生长的土壤。

更深的产业逻辑在于景气周期与安全投入的错配。存储行情越好，产业链的注意力越向产能、价格、长协倾斜；越是供不应求，下游越不敢对上游提要求，质量与安全的话语权随之失衡。终端厂商忙着保供应，配件厂商忙着蹭概念，安全设计在整条链路上成了最不重要的一环——直到研究员的一字螺丝刀把它戳穿。

但反过来说，这恰恰是安全厂商和研究社区的正面价值。漏洞报告、负责任披露、CVE体系，这套机制运转起来虽然慢，却比任何营销话术都诚实。在存储的黄金年代，愿意花时间拆U盘的人，才是这个行业真正的质量总监。

对普通用户和企业采购，结论其实很朴素：指纹不代表加密，算法名称不代表安全，品牌不代表这条产品线经过了同等强度的安全评审。下次采购加密存储设备时，多问一句密钥的存放与生成方式，可能比看十页参数表都有用。

🔭 写在最后：涨潮时，别忘了给数据上锁

这轮AI驱动的存储景气，大概率还远没有到顶。长鑫的长协在锁定未来，三星和海力士在排队涨价，产业链上的每一环都在为产能狂欢。但FU100的拆解提醒我们：狂欢分配不到的地方，恰恰是最需要纪律的地方。

三个判断，留给读者检验：

其一，安全债会在下行周期集中清算。今天的百元级「加密」U盘，是景气周期的隐形副产品——没人有空管它。而当存储利润回落、价格战重启时，安全事件将成为配件品牌最贵的负债。这次五家厂商被同时点名，很可能只是品类性问题的冰山一角。

其二，采购标准该升级了。政企与企业的加密存储采购清单，应该从「支持什么算法」升级为「密钥生命周期如何管理、是否通过第三方安全认证、能否提供独立审计报告」。要求不高，但足以筛掉绝大多数「感应门铃」式产品。

其三，负责任披露值得被善待。从2025年8月的一封报告，到2026年1月的公开公告，再到免费更换方案落地——虽然慢了五个月，但联想最终还是走了完流程。这套机制能运转，前提是厂商不把报告当麻烦、研究者不把披露当武器。下一轮存储洗牌来临时，安全能力大概率会成为原厂与配件厂之间新的分水岭。到时候再回头看这次「裸泳」，可能只是涨潮前的热身。

参考资料

1. 联想安全公告 LEN-210545（发布日期：2026年1月13日），含 CVE-2025-13453、CVE-2025-13454、CVE-2025-13455

2. HackingPassion 博客，研究员 Xusheng Li 关于联想 ThinkPlus FU100 / TSD303 及其他四家厂商 USB 存储设备的技术分析（2026年1月下旬发布）

3. 长鑫科技《2025年第三季度报告》（2025年10月30日披露，上海证券交易所）

4. 长鑫科技2025年第三季度业绩说明会公开表述（长协进展与需求展望）

“说明：文中标注「合理推断」的内容为作者基于行业普遍现象的分析，非本次事件的已证实事实；其余时间与业绩数据均以上述公开信源为准。