Trezor提醒CryptoBilis买家：疑现Safe 5钱包植入装置，请转移资金
要点速览
- •Trezor已建议自3月以来从前授权经销商CryptoBilis购买设备的所有用户，将其资产迁移至通过可信渠道创建的钱包。
- •一名印尼买家发现8月在电商平台Tokopedia购买的一台Trezor Safe 5内有一块未经授权的电路板，疑似可捕获屏幕上的信息（如恢复短语）并通过移动网络传输。
- •Trezor尚未检验该设备，也未收到相关资金损失报告，但其首席商务官表示公司认为该报告可信，并主动向用户发出警告。
- •此警告紧随Ledger确认一台通过CryptoBilis售出的钱包中存在未经授权植入装置之后，被篡改的Ledger设备已与加密货币损失相关联，其中包括新加坡用户损失的270万美元。
- •Trezor承认封条和包装本身并非充分的防护手段，目前正审查其硬件保护措施，并于10月13日宣布计划缩减其经销商网络。
硬件钱包制造商Trezor正敦促自3月以来从前授权经销商CryptoBilis购买其设备的客户转移资金，此前有报告称一台Trezor Safe 5中疑似存在植入装置。
Trezor于周五在官方博客文章中披露了该报告，该公告也在X上发布。据披露，一名印尼客户发现8月在电商平台Tokopedia购买的一台Safe 5内有一块未经授权的电路板。该疑似植入装置可捕获设备屏幕上显示的信息——包括钱包恢复短语——并通过移动网络传输。硬件钱包的设计初衷是让恢复短语保持离线状态，因此一台涉嫌泄露其所显示信息的设备，直接动摇了该产品安全模型的核心。
Trezor表示，其尚未检验该设备，也未收到相关资金损失的报告。
Trezor首席商务官Danny Sanders向Cointelegraph表示："我们还没有把这台设备送到实验室，但我们认为该报告可信。我们宁愿现在就提醒用户，也不愿等待确认，结果发现期间有人已经损失了资金。"
一位公司发言人称，通过CryptoBilis的销售量"非常小"，但拒绝提供具体数字。发言人补充说，Trezor尚未确定疑似篡改发生的地点，目前正在审查其硬件保护措施，并承认现有的防护手段——包括封条和包装——本身并不足够。实际操作中，转移资金需要在一个通过可信渠道获得的设备上使用全新的恢复短语生成新钱包，并弃用任何可能已在可疑设备上显示过的短语。
Ledger篡改事件与此前对Trezor的警告
该警告出台之前，10月9日曝光了多起涉及通过CryptoBilis销售的Ledger钱包的加密货币损失报告。Ledger确认其中一台设备中存在未经授权的硬件植入装置。
安全研究员Joe Grand此前向Cointelegraph表示，他曾在8月提醒Trezor，通过TikTok和Facebook上未经授权卖家购买的Trezor One和Model T钱包存在篡改痕迹。Trezor表示，其此前关于无设备遭入侵证据的说法仅适用于通过授权经销商销售的新钱包，并补充说其设置检查针对的是假冒设备和被修改的固件——而在一台由CryptoBilis售出的Ledger中发现的植入装置，是在不更改固件的情况下读取屏幕。
被盗的恢复短语可以让攻击者在另一台设备上恢复钱包并转移其资金。
Trezor于10月13日宣布了缩减其经销商网络的计划。
