Trezor 籲請 CryptoBilis 買家轉移資金，Safe 5 錢包疑似遭植入晶片
重點速覽
- •Trezor 已建議自 3 月起向其前授權經銷商 CryptoBilis 購買設備的所有客戶，將其持倉轉移至透過可信管道建立的錢包。
- •一名印尼買家發現 8 月在市集平台 Tokopedia 購買的 Trezor Safe 5 內含未經授權的電路板，疑似可擷取恢復短語等螢幕顯示資訊，並透過行動網路傳送。
- •Trezor 尚未檢驗該設備，也未接獲相關資金損失通報，但其首席商務長表示公司將該報告視為可信，並主動向用戶發出警示。
- •此次警示是在 Ledger 確認一台透過 CryptoBilis 售出的錢包含未經授權植入之後發布，遭竄改的 Ledger 設備已被與加密貨幣損失聯繫起來，包括新加坡用戶的 270 萬美元損失。
- •Trezor 承認封條與包裝本身並非足夠的防護手段，正在檢視其硬體防護措施，並於 10 月 13 日宣布計劃縮減其經銷商網絡。
硬體錢包製造商 Trezor 正籲請自 3 月起向前授權經銷商 CryptoBilis 購買設備的客戶轉移資金，此前有報告指一款 Trezor Safe 5 疑似遭植入晶片。
Trezor 於週五在官方部落格文章中披露此事，該警示亦透過 X 發布。根據披露內容，一名印尼客戶發現 8 月在市集平台 Tokopedia 購買的 Safe 5 內含一塊未經授權的電路板。這個疑似植入的元件可擷取設備螢幕上顯示的資訊——包括錢包恢復短語——並透過行動網路傳送。硬體錢包的設計目的是讓恢復短語保持離線狀態，因此一款涉嫌洩漏其所顯示內容的設備，直接動搖了該產品安全模式的核心。
Trezor 表示，尚未檢驗該設備，也未接獲相關資金損失的通報。
「我們尚未將該設備送進實驗室，但我們將此報告視為可信。我們寧願現在就提醒用戶，也不願等到確認後才發現有人在這段期間損失了資金，」Trezor 首席商務長 Danny Sanders 向 Cointelegraph 表示。
公司發言人描述透過 CryptoBilis 的銷售規模「非常小」，但拒絕提供具體數字。發言人補充，Trezor 尚未確定疑似竄改發生的地點，並正在檢視其硬體防護措施，同時承認現有的防護手段——包括封條與包裝——本身並不足夠。實際上，轉移資金涉及透過可信管道取得的設備，以全新的恢復短語建立新錢包，並停用任何可能在可疑設備上顯示過的短語。
Ledger 竄改事件與早前的 Trezor 警示
此警示是在 10 月 9 日浮現的、涉及透過 CryptoBilis 售出的 Ledger 錢包加密貨幣損失報告之後發布。Ledger 已確認其中一台設備內含未經授權的硬體植入。
資安研究員 Joe Grand 早前向 Cointelegraph 表示，他於 8 月已就透過 TikTok 與 Facebook 上未經授權賣家購得的遭竄改 Trezor One 與 Model T 錢包向 Trezor 發出警示。Trezor 表示，其早前「無設備遭入侵證據」的說法僅適用於透過授權經銷商銷售的新錢包，並補充其設定檢查針對的是仿冒設備與遭修改的韌體——而 CryptoBilis 售出的 Ledger 中發現的植入元件是在不更改韌體的情況下讀取螢幕。
遭竊的恢復短語可讓攻擊者在另一台設備上還原錢包並轉移其資金。
Trezor 於 10 月 13 日宣布計劃縮減其經銷商網絡。
