Trezor 就 Safe 5 疑似硬件植入事件警告 CryptoBilis 买家
要点速览
- •Trezor 建议所有从 2026 年 3 月起从 CryptoBilis 购买其钱包的客户，将资金转移到使用全新恢复短语新建的钱包中，切勿重复使用旧的恢复短语。
- •一名印尼客户于 10 月 28 日通过 Trezor 的负责任披露计划披露了疑似植入物，描述了一块带蜂窝模块和天线的额外电路板，会在设备每次接通电源时捕获屏幕上的数据。
- •在 Ledger 开始调查与该经销商相关的客户损失后，Trezor 于 10 月 9 日取消 CryptoBilis 的经销商资格；Trezor 对四台 CryptoBilis 售出设备的检验未发现篡改迹象。
- •Ledger 表示，所有确认的损失都涉及从 CryptoBilis 购买的设备，其中最大的受害者之一是一名骗子，据 Chainalysis 数据损失超过 60 BTC，价值约 480 万美元。
- •目前尚无 CryptoBilis 买家向 Trezor 报告资金损失，受影响的客户可以保留其设备并通过 Trezor 支持团队申请更换。
硬件钱包制造商 Trezor 于周五表示，在一名买家报告称在一台 Trezor Safe 5 中发现硬件植入后，该公司已警告从经销商 CryptoBilis 购买设备的客户转移资金。
Trezor 表示，收到了一份关于 2026 年 8 月从 CryptoBilis 购买的 Safe 5 中存在植入物的可信报告，但尚未检验该设备。据称，该植入物会从屏幕读取钱包备份并通过移动网络传输——该公司表示，这一行为似乎与 Ledger 的案例类似。
根据 该公司的一篇博客文章，一名印尼客户于 10 月 28 日通过 Trezor 的负责任披露计划报告了该植入物。这台 Safe 5 是 2026 年 8 月通过印尼电商平台 Tokopedia 从 CryptoBilis 购买的。
Trezor 在 X 上发帖称：
CryptoBilis update We've been made aware, through responsible disclosure, of a single hardware implant in a Trezor Safe 5 device bought from the reseller CryptoBilis in August 2026. No CryptoBilis buyer has reported a loss of funds to us. IMPORTANT: If you bought a Trezor from… pic.twitter.com/TiaKfHBnX2
— Trezor (@Trezor) October 30, 2026
报告描述称，一块额外的电路板被安装在设备主板与屏幕之间，并配有蜂窝模块和天线。据 Trezor 表示尚未核实的这份报告所述，该电路板会读取屏幕上显示的一切内容——包括钱包备份——并在设备每次接通电源时通过移动网络发送出去。
在设备出厂后、送达买家之前进行的篡改通常被称为供应链攻击——这是硬件钱包面临的一种独特威胁模型，因为硬件钱包的安全性建立在设备完好无损地到达用户手中的前提之上。所述的这类植入物无需破解任何密码学机制，只需捕获设备自身显示的内容即可。
Trezor 尚未收到该设备，但表示基于客户的描述和一段视频访谈，公司正在将该报告视为可信。"我们所看到的情况足够复杂精密，因此我们决定立即向客户发出警告," 该公司表示。"等待实验室确认将使 CryptoBilis 买家在此期间持续处于风险之中。"
该公司表示，目前尚无 CryptoBilis 买家向 Trezor 报告资金损失。
硬件钱包将用户的私钥保存在离线状态，而恢复短语——设备设置时生成的一串单词——可用于在新设备上恢复对资金的访问。恢复短语是整个设置中最敏感的元素：任何获得它的人都可以在自己的设备上重建钱包并控制资金，而一旦这些单词被他人看到，暴露就无法挽回。
Trezor 敦促所有从 2026 年 3 月起从 CryptoBilis 购买其钱包的客户，尽快将资金转移到使用全新恢复短语新建的钱包中，并且不要在任何设备上重复使用旧的恢复短语。尚未完成设备设置 的买家不应使用该设备。受影响的客户可以保留其 CryptoBilis 设备，并联系 Trezor 支持团队更换新设备。
CryptoBilis 事件
在竞争对手硬件钱包制造商 Ledger 开始调查从这家东南亚经销商处购买设备的客户遭受的损失后，Trezor 于 10 月 9 日取消了 CryptoBilis 的经销商资格。此后，Trezor 检验了四台从 CryptoBilis 购买的设备——一台 Safe 7、两台 Safe 5 和一台 Safe 3——未发现任何篡改迹象。
Ledger 的 Donjon 安全团队在通过 CryptoBilis 售出的 Ledger 设备中发现了一个植入物，该植入物会在设置过程中从屏幕读取 24 个单词的恢复短语并通过 LTE 发送出去。Trezor 的博客文章称，最新报告的植入物"似乎以类似方式运行",但该公司补充表示，在调查进行期间不会做比较，也不知道幕后黑手是谁。
Ledger 表示，所有确认的损失都涉及从 CryptoBilis 购买的设备，并已要求七个亚洲市场的经销商下架其设备。根据区块链分析公司 Chainalysis 的数据，最大的受害者之一是一名骗子，其损失超过 60 BTC，价值约 480 万美元。
接下来的进展取决于实物证据：一旦设备送达，Trezor 的实验室检验将首次直接验证客户的报告，两家制造商的调查仍在进行中。Trezor 的警告可追溯至 2026 年 3 月——比报告设备的购买时间早了数月——因此受影响买家的完整范围仍无法确定。
Trezor 此前也曾因合作伙伴的问题而不得不向客户发出警告。今年 8 月，该公司表示，物流服务商 ShipMonk 遭遇的数据泄露事件暴露了近 14,000 名美国客户的姓名、电话号码和家庭住址——到 9 月，这一数字又增加了 67,000。
