硬體錢包製造商 Trezor 正縮減其授權經銷商網絡，此前經第三方經銷商售出的 Ledger 裝置被發現暗藏惡意植入裝置，區塊鏈調查人員目前估計 CryptoBilis 事件的損失金額為 1.02 億美元。

此事件顯示，裝置在送達買家之前遭動手腳，可完全繞過錢包內建的密碼學防護，將安全問題從硬體本身轉移到負責交付的經銷鏈。

Trezor 於 10 月 13 日在一份供應鏈聲明中宣布這項預防性變動，確認受影響的分銷夥伴將於 2027 年 1 月 1 日失去授權。對這些經銷商的新出貨已經停止。在 Ledger 確認同一商家分銷了遭篡改的裝置後，該公司亦已將東南亞零售商 CryptoBilis 自授權網絡中移除。Trezor 強調，並未收到任何證據顯示其自身品牌的裝置遭到入侵。

Trezor 終止經銷協議，2027 年 1 月起生效

商務長 Danny Sanders 在致分銷夥伴的信函中說明相關調整，解釋 Trezor 已無法在其現有經銷商網絡中維持同等的監督水準。

受影響的夥伴可於假期購物季期間繼續售出剩餘庫存，但不會再獲得新貨，其授權將於 2027 年初到期。Trezor 計劃推出更嚴格的夥伴審查機制，並更新涵蓋產品採購、儲存與運送的合約要求。第三方零售商長期以來是錢包製造商觸及當地市場的重要管道，但每一層中間商都在工廠與顧客之間增加一道環節——這正是 CryptoBilis 事件曝光後，整個產業對供應鏈加強審視的部分。

Sanders 強調，此決定並不代表受影響的經銷商有不当為。他也公開感謝長期合作的夥伴，並為終止商業關係致歉。Trezor 未透露將有多少零售商失去授權，也未說明哪些市場會受影響。

Ledger 將錢包資產遭竊與暗藏的 LTE 植入裝置連結

此次經銷商整頓，緊隨 Ledger 對與 CryptoBilis 相關、影響東南亞各地顧客的錢包資產失竊事件的調查。Ledger 的 Donjon 安全團隊發現，受影響的硬體錢包內藏有未經授權的電子植入裝置。該元件在裝置初始化時攔截顯示的 24 字助記詞，並透過內嵌 SIM 卡以 LTE 傳送資料。由於助記詞本身即可在任何相容裝置上還原錢包，在初始化時擷取到的助記詞，讓攻擊者無需再接觸硬體，即可取得錢包日後持有的所有資金。

據 Ledger 說明，該植入裝置獨立於 Secure Element 運作，且未修改裝置的作業系統或交易簽章。該公司已確認，其調查的案件涉及經 CryptoBilis 售出的裝置，同時堅稱其內部系統與直銷管道未受影響（X 貼文）。此事件為先前因客戶資料外洩與軟體供應鏈漏洞而對 Ledger 安全紀錄提出的疑慮，增添了新的實體供應鏈層面。

區塊鏈情報公司 Bitquery 隨後追蹤到估計 1.02 億美元的被竊資產，涉及六條區塊鏈上的 324 個錢包，超出最初估計的 8,600 萬美元，詳見其發布的調查報告。分析確認，Tron、Bitcoin、Ethereum、Solana、BNB Chain 與 Polygon 上均有協調一致的提款行為，Tether 亦凍結了與可疑轉帳相關的約 1,000 萬枚 USDT。Ledger 尚未獨立證實總損失金額。

調查擴大，MediaMarkt 暫停銷售 Ledger 產品

調查亦延伸至歐洲零售商。一名顧客通報在德國購得的硬體遭改裝後，MediaMarktSaturn 暫停銷售受影響的 Ledger 產品；該顧客在不同 MediaMarkt 門市購得的兩台裝置內，發現額外的線路與行動通訊元件。

Ledger 證實接獲這起德國通報，但表示尚未發現相關資金損失，且該公司尚未確認這些裝置與 CryptoBilis 竊案之間的關聯。

另外，另一家錢包製造商 OneKey 已撤銷 CryptoBilis 的經銷授權，並為 3 月 1 日至 10 月 13 日間經該零售商購買其產品的顧客免費更換裝置。

Ledger 持續建議 CryptoBilis 的顧客不要初始化未使用的裝置。已設定受影響錢包的用戶，應將資產轉移至以全新助記詞安全建立的錢包。

後續值得關注的未決事項包括：Ledger 尚未證實的總損失金額、德國 MediaMarkt 裝置最終是否與 CryptoBilis 竊案有關，以及 Bitquery 調查與 Tether 凍結 1,000 萬枚 USDT 行動所衍生的進一步追蹤或資產凍結。

Trezor 更廣泛的經銷商變動將於 2027 年 1 月 1 日生效，其修訂後的分銷控管措施旨在減少經手顧客裝置的中間商數量。

來源：Crypto Adventure