硬體錢包製造商 Trezor 表示，將大幅減少獲准銷售其裝置的授權經銷商數量，並自 2027 年 1 月 1 日起從授權名單中移除相關經銷商。該公司將此決定描述為因應近期影響硬體錢包產業的供應鏈事件而「基於高度謹慎所採取的預防步驟」。授權經銷商是指獲得製造商正式批准銷售其裝置的第三方零售商。

此消息於週二在 X 上發布，Trezor 在文中表示，沒有「任何一絲證據」顯示其裝置曾遭入侵。

Following recent supply-chain incidents, we decided to reduce the number of resellers so we can more effectively check those we work with. Let us be very clear: there is not a single piece of evidence that Trezor devices have been compromised. This is a preventive step, taken…

— Trezor (@Trezor) October 13, 2026

商務長 Danny Sanders 表示，部分經銷商已接獲通知，將於 2027 年 1 月 1 日從授權名單中移除。他補充，對這些經銷商的出貨將於週二停止。

Trezor 並公開了一封發送給特定夥伴的信函，信中寫道，硬體錢包「的安全性僅取決於它抵達擁有者手中所經歷的路徑」。根據該信函，公司希望經銷商網絡規模小到能對每一位留存的夥伴進行審查。留在該計劃中的夥伴將面對更新的法律框架，以及對裝置採購、儲存與處理方式的更嚴格檢查。

To the resellers who helped build Trezor: thank you, and I'm sorry 💔 pic.twitter.com/RK7KBJOshp

— Danny (@Dantoshi) October 13, 2026

Ledger 發生了什麼事

此決定是在 Ledger 證實至少有一台從東南亞經銷商購得的裝置含有未經授權的硬體植入物之後數日作出的。涉事經銷商名為 CryptoBilis。

據報導，這些植入物是焊接在裝置內部，會竊取用戶的助記詞，並透過行動網路傳送出去。助記詞是自託管錢包的主備份——一組可重新生成錢包所有私鑰的詞彙序列——因此任何取得助記詞的人無須接觸硬體即可取走資金。此案也說明了供應鏈攻擊的運作方式：入侵發生在工廠與買家之間，也就是實體配送環節，而非軟體層面。

事件於 2026 年 10 月 9 日曝光，據稱攻擊者篡改了透過第三方經銷商售出的裝置。

CryptoBilis 同時也是 Trezor 的授權經銷商，已在調查期間暫停所有硬體錢包銷售。

另外，MediaMarkt 的母公司表示，已將所有 Ledger 產品從其實體門市與線上平台下架，並稱此舉為預防措施。

損失金額有多少

區塊鏈研究人員仍在估算總損失。兩位研究人員的研究估計損失介於 7,200 萬美元至 8,600 萬美元之間，另有報導估計總額為 9,300 萬美元。

Ledger 週二表示，尚未確認受影響用戶的總數或損失總價值。

Trezor 的回應

Trezor 發言人向 Cointelegraph 表示，該公司的設定檢查機制旨在偵測仿冒裝置與經修改的韌體。發言人指出，在 CryptoBilis 裝置中發現的植入物運作方式不同。

據發言人說明，該植入物不會更改裝置韌體，而是讀取螢幕上顯示的資訊，並於稍後傳送給攻擊者。這種行為超出了硬體錢包的安全模型範疇——該模型假設裝置的機密永遠不會離開硬體本身。Trezor 表示，在現實世界中尚未在其裝置上見過此類攻擊。

該公司呼籲用戶直接從 Trezor 購買，並確認裝置封條完好無損。同時建議使用由不同製造商裝置組成的多簽名錢包，如此一來，單一被入侵的裝置便無法自行轉移資金。

硬體錢包產業艱難的一年

據報導，硬體錢包公司今年已遭遇近十餘起事件，包括資料外洩、雷射故障注入攻擊的揭露，以及韌體熵缺陷。雷射故障注入是一種利用聚焦光線在晶片中引發錯誤、進而可能繞過其安全檢查的實體技術；而熵缺陷則是指加密金鑰生成所依賴的隨機性存在弱點。

Trezor 本身也於 8 月遭遇事件：一家第三方履約供應商發生資料外洩，曝露了數萬名客戶的個人資訊。

最新進展是，Trezor 的經銷商移除措施將於 2027 年 1 月 1 日生效，距離公告不到三個月。調查人員仍在持續釐清與 Ledger 事件相關損失的完整規模。