硬件钱包制造商 Trezor 正敦促自 2026 年 3 月以来通过前授权经销商 CryptoBilis 购买其设备的客户，将加密货币转移至新钱包，此前有买家报告称一台 Trezor Safe 5 内疑似存在硬件植入装置。Trezor 于 10 月 30 日在其官方博客上发布公告——此时公司尚未对该设备进行实物检测——并表示尚未接到与该事件相关的资金被盗或加密货币损失报告。此次警报涵盖通过 CryptoBilis 销售的所有 Trezor 机型，而不仅是 Safe 5。

印尼买家的报告

一名印尼客户于 10 月 28 日向 Trezor 报告了一台 Safe 5——该公司现行硬件钱包产品线中的一个型号——该设备于 8 月通过印尼电商平台 Tokopedia 购买。下单时 CryptoBilis 仍是授权卖家。

Trezor 已审查了设备照片并采访了该客户，但尚未对设备本身进行检测。首席商务官 Danny Sanders 表示："我们还没有把这台设备送到实验室",并补充说公司认为该报告可信。Trezor 拒绝披露该经销商的确切销售数字。

涉嫌植入装置可捕获恢复短语

据报告描述，该钱包的主电路与屏幕之间存在一块额外的电路板。据称，一块蜂窝模块和天线可在设备通电时传输屏幕上显示的内容，包括恢复词。

恢复短语使人无需原始硬件即可恢复加密货币钱包。Trezor 提醒，即使客户之后更换设备，攻击者仍可能利用这些词。硬件钱包的安全性依赖于将恢复短语离线保存，这正是为何一个据称可广播屏幕内容的组件会破坏设备本应提供的保障。

此前，新加坡遭篡改的 Ledger 钱包曾引发关注，警方记录了两起案件，损失总额约 350 万新加坡元。Trezor 尚未将这些案件与印尼买家报告的设备联系起来。

此前案件促使经销商审查

在 Ledger 确认通过同一经销商销售的设备存在物理改动后，Trezor 于 10 月 9 日将 CryptoBilis 从其认可卖家名单中移除。调查人员尚未查明是谁改动了报告中的这台 Trezor 设备。

该公司检查了另外四台通过 CryptoBilis 购得的钱包，未发现篡改迹象。另外，Keystone 本周报告了一起客户收货信息泄露事件，但该事件未涉及钱包恢复短语泄露。

客户被告知更换钱包备份

Trezor 建议受影响的买家创建带有新恢复短语的新钱包，并将持仓转移过去。在不同硬件上恢复旧恢复短语无法解决先前的暴露风险。

该公司还提醒客户警惕虚假安全信息。Foundation Passport 客户近日收到了包含个人购买详情的钓鱼邮件；那起独立事件涉及误导性邮件，而非已确认的硬件篡改。

尚未激活设备的客户应保持设备闲置。Trezor 通过其支持团队向符合条件的买家提供更换钱包或代金券，并表示其工作人员绝不会索要恢复短语。截至 10 月 30 日公告发布时，涉案设备仍未经过检测，Trezor 的实验室检测结果将是此案最紧迫的待解问题。