硬體錢包製造商 Trezor 正呼籲自 2026 年 3 月起透過前授權經銷商 CryptoBilis 購買其設備的客戶，將加密貨幣轉移至新錢包，此前一名買家通報 Trezor Safe 5 內疑似遭植入硬體。Trezor 於 10 月 30 日在其官方部落格發布通告——當時該公司尚未實際檢驗該設備——表示目前未接獲任何與此案相關的資金被竊或加密貨幣損失報告。此次警示涵蓋透過 CryptoBilis 售出的所有 Trezor 型號，並不僅限於 Safe 5。

來自印尼買家的通報

一名印尼客戶於 10 月 28 日向 Trezor 通報一款 Safe 5——該公司現行硬體錢包產品線中的型號——於 8 月透過印尼電商平台 Tokopedia 購買。下單時，CryptoBilis 仍是授權經銷商。

Trezor 已檢視該設備的照片並訪談該客戶，但尚未對設備本身進行檢測。商務長 Danny Sanders 表示：「我們尚未將該設備送進實驗室」，並補充公司認為此一說法可信。Trezor 並未透露該經銷商的實際銷售數據。

疑似植入物可擷取助記詞

根據通報內容，該錢包的主電路與螢幕之間含有一塊額外的電路板。據稱，一組行動通訊模組與天線可在設備通電時，傳輸螢幕上顯示的內容，包括助記詞。

助記詞可在沒有原始硬體的情況下還原加密貨幣錢包。Trezor 提醒，即使客戶日後更換設備，攻擊者仍可能利用這些詞彙。硬體錢包的安全性來自將助記詞保持在離線狀態，這也是為何一個據稱能對外發送螢幕內容的元件，會破壞該設備原本應提供的保障。

此次疑慮緊隨新加坡遭竄改 Ledger 錢包的報導之後，當地警方記錄了兩起案件，損失總額約 350 萬新加坡元。Trezor 並未將這些案件與印尼買家通報的設備連結。

先前案例促使經銷商審查

在 Ledger 確認透過同一經銷商售出的設備存在物理變更後，Trezor 已於 10 月 9 日將 CryptoBilis 從核准賣家名單中移除。調查人員尚未查明是誰改動了該台 Trezor 設備。

該公司檢驗了另外四個透過 CryptoBilis 取得的錢包，未發現竄改痕跡。此外，Keystone 本週通報一宗客戶寄送資訊外洩事件，但該事件並未涉及助記詞外洩。

客戶獲告知應更換錢包備份

Trezor 建議受影響的買家以新的助記詞建立全新錢包，並將持倉轉移至新錢包。在其他硬體上還原舊助記詞，將無法解決先前的暴露風險。

該公司同時提醒客戶提防虛假安全訊息。Foundation Passport 客戶近日收到包含個人購買詳情的釣魚郵件；該起獨立事件涉及誤導性郵件，而非已確認的硬體竄改。

尚未啟用設備的客戶應讓設備保持未使用狀態。Trezor 透過其支援團隊向符合條件的買家提供替換錢包或折價券，並表示其支援人員絕不會索取助記詞。截至 10 月 30 日通告發布時，通報的設備仍未經檢測，Trezor 的實驗室檢驗結果將是本案最迫切的待解問題。