Safe 5 疑遭植入硬體晶片 Trezor 警告 CryptoBilis 買家
重點速覽
- •Trezor 建議所有自 2026 年 3 月起向 CryptoBilis 購買其錢包的客戶，將資金轉移至以全新恢復片語新建的錢包，且絕不重複使用舊片語。
- •一名印尼客戶於 10 月 28 日透過 Trezor 的負責任揭露計畫通報疑似植入晶片，描述了一塊附有蜂巢式通訊模組與天線的額外電路板，會在裝置接通電源時擷取螢幕上的資料。
- •在 Ledger 開始調查與該經銷商相關的客戶損失後，Trezor 於 10 月 9 日終止與 CryptoBilis 的經銷合作；Trezor 對四台 CryptoBilis 售出裝置的檢驗未發現篡改跡象。
- •Ledger 表示所有已確認的損失都涉及向 CryptoBilis 購買的裝置，其中最大的受害者之一是一名損失超過 60 BTC、價值約 480 萬美元的騙徒，據 Chainalysis 所述。
- •目前尚無 CryptoBilis 買家向 Trezor 通報資金損失，受影響客戶可保留其裝置並透過 Trezor 支援團隊申請更換。
硬體錢包製造商 Trezor 於週五表示，在一名買家通報於 Trezor Safe 5 內發現硬體植入晶片後，該公司已警告向經銷商 CryptoBilis 購買其裝置的客戶轉移資金。
Trezor 表示，已收到一份關於 2026 年 8 月從 CryptoBilis 購入的 Safe 5 內存在植入晶片的可信通報，但尚未檢驗該裝置。據稱該植入晶片會讀取螢幕上的錢包備份並透過行動網路傳出——公司指出此行為似乎與 Ledger 的案例類似。
根據該公司的一篇部落格文章，一名印尼客戶於 10 月 28 日透過 Trezor 的負責任揭露計畫通報了此一植入晶片。該 Safe 5 是於 2026 年 8 月透過印尼電商平台 Tokopedia 向 CryptoBilis 購入。
Trezor 在 X 上發文表示：
CryptoBilis update We've been made aware, through responsible disclosure, of a single hardware implant in a Trezor Safe 5 device bought from the reseller CryptoBilis in August 2026. No CryptoBilis buyer has reported a loss of funds to us. IMPORTANT: If you bought a Trezor from… pic.twitter.com/TiaKfHBnX2
— Trezor (@Trezor) October 30, 2026
該通報描述了一塊安裝在裝置主機板與螢幕之間的額外電路板，並配備蜂巢式通訊模組與天線。根據 Trezor 稱尚未經其核實的這份通報，該電路板會讀取螢幕上顯示的任何內容——包括錢包備份——並在裝置每次接通電源時透過行動網路傳出。
裝置在出廠後、送達買家前遭篡改，通常被稱為供應鏈攻擊——這對硬體錢包而言是一種獨特的威脅模式，因為硬體錢包的安全性建立在裝置送達時未被動過的前提上。如所述的這類植入晶片無需破解任何密碼學；它只需要擷取裝置本身顯示的內容。
Trezor 尚未收到該裝置，但表示基於客戶的描述及一段影片訪談，公司將該通報視為可信。「我們所看到的情況精巧到我們決定現在就警告客戶，」公司表示。「等待實驗室確認將使 CryptoBilis 買家在此期間持續暴露於風險之中。」
Trezor 表示，目前尚無 CryptoBilis 買家向其通報資金損失。
硬體錢包將使用者的私鑰保存在離線環境中，而恢復片語——裝置設定時產生的一組單詞序列——可用於在新裝置上恢復對資金的存取。恢復片語是整套設定中最敏感的部分：任何取得它的人都可以在自己的裝置上重建該錢包並控制資金，而這些單詞一旦被看過，暴露便無法復原。
Trezor 呼籲自 2026 年 3 月起向 CryptoBilis 購買其錢包的任何用戶，盡快將資金轉移至以新恢復片語新建的錢包，且不得在任何裝置上重複使用舊片語。尚未設定裝置的買家不應使用該裝置。受影響的客戶可保留其 CryptoBilis 裝置並聯絡 Trezor 支援團隊更換。
CryptoBilis 事件
Trezor 於 10 月 9 日將 CryptoBilis 從經銷商名單中移除，此前競爭對手硬體錢包製造商 Ledger 開始調查向這家東南亞經銷商購買裝置的客戶的資金損失。Trezor 此後檢驗了四台向 CryptoBilis 購買的裝置——一台 Safe 7、兩台 Safe 5 和一台 Safe 3——未發現任何篡改跡象。
Ledger 的 Donjon 安全團隊在透過 CryptoBilis 售出的 Ledger 裝置中發現了一枚植入晶片，會在設定過程中從螢幕讀取 24 個單詞的恢復片語並透過 LTE 傳出。Trezor 的部落格文章指出，新通報的植入晶片「似乎以類似方式運作」，但公司補充表示，在調查仍在進行之際不會做出比較，也不清楚幕後黑手是誰。
Ledger 表示，所有已確認的損失都涉及向 CryptoBilis 購買的裝置，並已要求七個亞洲市場的經銷商下架其裝置。根據區塊鏈分析公司 Chainalysis，最大的受害者之一是一名騙徒，損失超過 60 BTC，價值約 480 萬美元。
接下來的發展取決於實體證據：一旦裝置送達，Trezor 的實驗室檢驗將首次直接驗證客戶的通報，且兩家製造商的調查仍在進行中。Trezor 的警告範圍回溯至 2026 年 3 月——早於通報裝置的購買時間數個月——因此受影響買家的完整範圍仍無法確定。
Trezor 此前也曾因合作夥伴問題而不得不警告客戶。8 月時，該公司表示出貨服務商 ShipMonk 遭入侵，暴露了近 14,000 名美國客戶的姓名、電話號碼與住家地址——9 月這一數字又增加了 67,000 人。
