硬體錢包製造商 Trezor 已向向經銷商 CryptoBilis 購買裝置的客戶發出早期警告，表示一份有關 Trezor Safe 5 內含硬體植入裝置的報告可信度高，足以在實驗室檢驗完成之前就採取行動。根據 Trezor 的揭露聲明，凡自 2026 年 3 月起向 CryptoBilis 購買 Trezor 的客戶，應將裝置內的資金轉移至以新助記詞生成的錢包。

公司於 2026 年 10 月 30 日發表聲明。其安全團隊於 10 月 28 日收到該報告。報告宣稱一台 Trezor Safe 5 內嵌了硬體植入裝置，該買家於 2026 年 8 月透過印尼電商平台 Tokopedia 向 CryptoBilis 購入此裝置。Trezor 尚未對該裝置進行實物檢驗，但表示認為客戶的陳述——並有視訊訪談佐證——具有可信度。公司選擇立即警告買家，而非等待實驗室確認。迄今為止，尚無 CryptoBilis 客戶向 Trezor 通報資金損失。

植入裝置報告的內容

Trezor 的揭露聲明描述了一塊安裝在 Safe 5 主機板與螢幕之間的額外電路板。該電路板搭載蜂窩模組與天線。根據報告，疑似植入裝置會讀取螢幕顯示的一切內容，包括錢包備份，並在裝置接上電源後透過行動網路傳送該資料。所涉備份即為助記詞——設置硬體錢包時生成的一組單詞，僅憑這組單詞即可在另一台裝置上重建錢包並動用資金。如果描述屬實，此類植入裝置將暴露完全控制錢包的關鍵資訊。

Trezor 表示，該裝置配置與同一經銷商出售的 Ledger 裝置中發現的植入裝置相似，但補充說在調查進行期間不會確認這一關聯。

該報告由一名印尼客戶透過 Trezor 的負責任揭露計畫提交。該客戶在發現植入裝置之前已將資金轉出裝置。Trezor 對通報者及 SEAL 911（Security Alliance 的緊急應變服務）表示感謝，兩者在案件處理以及對受影響買家的支援上均提供了協助。

為何所有 CryptoBilis 買家都在警告範圍內

CryptoBilis 是 Trezor 在東南亞的官方經銷商，直至 2026 年 10 月。10 月 9 日，Ledger 開始調查向該經銷商購買裝置的客戶資金損失事件，隨後表示部分裝置曾遭實體改動。由於 CryptoBilis 也銷售 Trezor 產品，Trezor 於同日終止該經銷商資格，並開始審查客戶裝置。

據 Trezor 表示，10 月 28 日的報告是其收到的第一份指出自家裝置可能透過該銷售通路被植入裝置的報告。公司表示，其建議適用於向 CryptoBilis 購買的所有 Trezor 型號，不僅限於報告中提及的 Safe 5。公司未收到涉及其他經銷商的任何報告。

本案突顯出，密封硬體錢包的安全承諾仍取決於裝置送達買家之前經手的是誰。目前仍有兩個問題懸而未決：對該台 Safe 5 的實驗室檢驗是否證實客戶的陳述，以及進行中的調查對同一通路出售的 Ledger 裝置中通報的植入裝置會得出什麼結論。

受影響買家應採取的措施

Trezor 建議，凡自 2026 年 3 月起向 CryptoBilis 購買 Trezor 且裝置內持有資金的客戶，應盡快將資金轉移至以新助記詞新建的錢包。將舊備份還原到另一台裝置無法消除風險，因為助記詞可能已在被竄改的裝置上外洩。沒有第二台安全硬體錢包的買家，可暫時將資金存放於其信任的軟體錢包或交易所，並在轉帳前核對完整收款地址。

公司還指示買家不要設置來自該通路的未開封裝置，也絕不在其上輸入現有的錢包備份。Trezor 強調，其支援團隊絕不會要求提供恢復短語。公司並警告，詐騙者可能利用這則新聞進行網路釣魚，假冒的電子郵件、信函與電話已構成風險。

受影響的 CryptoBilis 買家仍可獲得直接寄送的新 Trezor，或更換憑證。他們應保留 CryptoBilis 裝置並聯絡支援團隊。