硬件钱包制造商 Trezor 向从经销商 CryptoBilis 购买设备的客户发出早期警告，称一台 Trezor Safe 5 内存在硬件植入物的报告可信度足以在实验室检验完成之前采取行动。根据 Trezor 的披露，自 2026 年 3 月起从 CryptoBilis 购买 Trezor 的任何用户，应将设备中持有的资金转移至使用新助记词生成的钱包。

该公司于 2026 年 10 月 30 日发表声明。其安全团队于 10 月 28 日收到该报告。报告声称，买家于 2026 年 8 月通过印尼电商平台 Tokopedia 从 CryptoBilis 购买的一台 Trezor Safe 5 中被嵌入了硬件植入物。Trezor 尚未对该设备进行实物检验，但表示认为客户的陈述（辅以视频采访）是可信的。公司选择立即警告买家，而不是等待实验室确认。迄今为止，尚无 CryptoBilis 客户向 Trezor 报告资金损失。

植入物报告的内容

Trezor 的披露描述了一块置于 Safe 5 主板与屏幕之间的额外电路板。该电路板载有蜂窝模块和天线。据报告所述，该植入物会读取屏幕显示的一切内容，包括钱包备份，并在设备接通电源后通过移动网络传输这些数据。所涉及的钱包备份即助记词——硬件钱包设置时生成的一串单词，仅凭它就足以在另一台设备上恢复钱包并动用其中资金。如果描述属实，此类植入物将暴露完全控制钱包的那一项关键信息。

Trezor 表示，该装置与同一经销商售出的 Ledger 设备中发现的植入物相似，但补充称在调查进行期间不会确认这一关联。

该报告由印尼的一位客户通过 Trezor 的负责任披露计划提交。该客户在发现植入物之前已将资金从设备中转出。Trezor 向报告人以及 SEAL 911——安全联盟（Security Alliance）的紧急响应服务——表示感谢，两者均协助处理此案并为受影响的买家提供支持。

为何所有 CryptoBilis 买家都在范围内

CryptoBilis 在 2026 年 10 月之前一直是 Trezor 在东南亚的官方经销商。10 月 9 日，Ledger 开始调查从该经销商购买设备的客户出现的资金损失，随后表示其中部分设备曾被物理改装。由于 CryptoBilis 也销售 Trezor 产品，Trezor 于同一天终止了该经销商资格，并开始审查客户设备。

据 Trezor 称，10 月 28 日的报告是其收到的首份提示其自身设备可能被植入硬件的报告，且设备来自该销售渠道。公司表示，其建议适用于从 CryptoBilis 购买的所有 Trezor 型号，而不仅限于报告中提及的 Safe 5。Trezor 未收到涉及任何其他经销商的报告。

此案凸显出，密封硬件钱包的安全承诺仍然取决于在设备送达买家之前由谁经手。目前仍有两个问题悬而未决：对被报告的 Safe 5 进行的实验室检验是否会证实客户的陈述，以及正在进行的调查将对同一渠道售出的 Ledger 设备中的植入物得出何种结论。

受影响的买家应采取的措施

Trezor 建议自 2026 年 3 月起从 CryptoBilis 购买 Trezor 且设备中持有资金的任何用户，尽快将资金转移至使用新助记词新建的钱包。在另一台设备上恢复旧备份并不能消除风险，因为助记词可能已在被篡改的设备上泄露。没有第二台安全硬件钱包的买家可以将资金临时存放于自己信任的软件钱包或交易所，并应在转账前核对完整的收款地址。

公司还指示买家不要启用从该渠道购买的未拆封设备，也绝不要在其中输入现有的钱包备份。Trezor 强调，其支持团队绝不会索要恢复短语。公司还警告称，诈骗者可能利用这一消息进行钓鱼攻击，虚假电子邮件、信函和电话已经构成风险。

受影响的 CryptoBilis 买家仍有资格获得直接寄送的新 Trezor 或更换凭证。他们应保留 CryptoBilis 设备并联系支持团队。