硬件钱包制造商 Trezor 在三只 Safe 5 加密货币钱包中发现恶意硬件植入后，已将其授权经销商网络裁减约 80%。在重组的同时，公司发布了固件更新，旨在阻止植入物捕获敏感的钱包信息。

在 2026 年 11 月 12 日发布的调查更新中，Trezor 确认所有三台受感染设备均来自东南亚前经销商 CryptoBilis。尽管尚无客户报告加密货币损失，公司仍继续建议将资金转移至新创建的钱包。Trezor 在官方调查更新中详细说明了调查结果。

确认三台受感染钱包

植入物存在于 2026 年 8 月 20 日至 9 月 23 日之间购买的 Safe 5 设备中，这些设备或直接购自 CryptoBilis，或通过其在 Tokopedia 和 Shopee 平台的店铺购买。Trezor 在实验室中对一台受感染钱包进行了实物检验，并根据客户提交的照片确认了其余两个植入物。

在 Trezor 于 10 月发布初步警告后，48 名 CryptoBilis 客户联系公司寻求协助。调查人员未在其他经销商销售的设备或其他 Trezor 型号中发现篡改证据，但调查仍在进行中。

植入物如何窃取钱包数据

该恶意组件是安装在 Safe 5 主板与显示屏之间的额外电路板。它会秘密捕获屏幕上显示的信息，包括钱包恢复短语和密码短语，然后加密窃取的数据并通过移动网络传输至攻击者控制的服务器。如果连接失败，植入物会存储数据并稍后尝试传输。

恢复短语是硬件钱包的主备份：它可以在任何兼容设备上重新生成钱包的密钥，这意味着捕获恢复短语等同于获得对其保护资金的控制权，即使设备本身此后从未被再次使用。

值得注意的是，植入物并未修改钱包的原始固件或安全元件（Secure Element），即设备的核心安全组件保持不变——这一细节使攻击尤为令人担忧，因为该修改在这些组件所保护的密码学核心之外运作，捕获屏幕显示的内容，而非改变钱包的内部操作。

固件修复与更严格的供应链管控

Trezor 于 11 月 11 日发布固件版本 2.13.1，以阻止已确认的植入物捕获更多信息。由于该更新无法保护攻击者可能已经获取的恢复短语，公司建议 CryptoBilis 客户将加密货币转移至使用新生成的恢复短语的新钱包。这两项措施针对不同的风险：固件补丁在安装后可阻止进一步捕获，而新钱包则在恢复短语已经泄露的情况下保护资金。自 2026 年 3 月以来从 CryptoBilis 购买 Trezor 设备的客户也有资格获得更换。

与此同时，Trezor 已移除约五分之四的经销商网络，并对设备采购、存储和处理推出了更严格的要求。公司强调，被移除的合作伙伴并不一定是安全威胁；此次重组旨在加强供应链保护，并减少未来硬件被篡改的机会。对买家而言，这一事件提醒人们，硬件钱包的安全性不仅取决于其密码学技术，还取决于设备从工厂到购买者所经历的物理路径——当这条路径经过第三方卖家和平台店铺时，它便处于制造商的直接监管之外。