Trezor Safe 5疑遭植入非原厂元件，官方急吁CryptoBilis买家转币

继Ledger爆发大规模硬件钱包供应链窃币事件后，另一家冷钱包大厂Trezor 也面临相同经销通路的安全威胁！

Trezor 近日证实，一名印尼用户通报从前授权经销商CryptoBilis 购买的Trezor Safe 5，疑似遭植入能够截取钱包恢复助记词的恶意电子元件。

截至11 月1 日，Trezor 尚未完成这台可疑设备的实验室鉴识，也未收到相关用户资产遭窃的通报，但官方已扩大安全警告，要求所有自2026 年3 月起透过CryptoBilis 购买Trezor 装置的用户，立即将资产转入使用全新助记词建立的安全钱包，并提供免费替换设备或购买凭证。

根据Trezor 公告，印尼用户于10 月28 日透过漏洞通报管道提出警告，指出自己今年8 月在电商平台Tokopedia，透过CryptoBilis 购买的Trezor Safe 5，内部疑似存在非原厂电子元件。

通报资料显示，这块额外电路板被安装在主机板与显示萤幕之间，并配备行动通讯模组与天线。攻击原理可能是：当使用者首次设定钱包、萤幕显示恢复助记词（Recovery Phrase）时，植入物便可读取萤幕内容，再透过行动网路将资讯传送至攻击者。

一旦完整助记词外泄，攻击者便可能在另一个钱包重新取得相关资产的控制权。不过，Trezor 强调，这些技术细节目前仍来自通报者提供的照片、说明与视讯访谈，尚未经过官方实验室完整验证。

Trezor 最新披露，公司早在10 月9 日取消CryptoBilis 的经销资格后，便开始检查经由该通路售出的装置。截至目前，已检查的四台设备包括一台Safe 7 、两台Safe 5，以及一台Safe 3，均未发现实体改装迹象。

但这四台并不包含10 月28 日遭到举报的Safe 5 。 Trezor 表示，正安排将该设备送往实验室，以确认是否真的存在恶意电路，以及其是否具有撷取助记词的能力。

Trezor 商务长Danny Sanders 表示，公司宁愿在鉴识完成前先提醒用户，也不希望等到实际有人遭窃，才公开风险。

官方目前尚未公布下一次调查报告的具体日期。

这次事件的另一个重要进展，是风险已扩及多家硬件钱包品牌。

CryptoBilis 原本是Ledger 与Trezor 在东南亚市场的授权经销商。今年10 月9 日，Ledger 开始调查部分经由该通路售出的硬件钱包遭窃事件，随后确认部分正版装置确实被植入未经授权的硬件。

链上分析师先前估计，Ledger 相关供应链窃币事件涉及超过8,600 万美元加密资产损失，但Ledger 尚未确认这是最终损失总额。

Trezor 因而在10 月9 日先行取消CryptoBilis 授权，即使当时还没有发现自家装置遭改装的证据。另一家硬件钱包业者OneKey 也已终止与CryptoBilis 的合作，暂停新的经销批准，并提出替换设备安排。

这显示此次问题已不再只是个别钱包品牌的产品安全事件，而是涉及多家制造商共同面临的经销通路与供应链管理风险。但目前仍没有证据确认，Ledger 与Trezor 的疑似植入物由同一攻击者制作，也尚未查明实际改装发生在哪个物流或销售环节。

Trezor 表示，目前没有收到CryptoBilis 客户因这起疑似植入事件损失资金的通报。发现问题的印尼用户，也已在发现可疑硬件前将资产转离。不过，由于Trezor 采自托管模式，公司并不能直接检查所有用户钱包的余额或资金状态，因此无法完全排除尚未通报的损失。

官方要求，自2026 年3 月起经CryptoBilis 或其供货商家购买装置的用户：

Trezor 同时提醒，攻击者可能利用事件发送冒充官方客服的钓鱼邮件、信件及电话，诱骗用户交出助记词。此外，官方不建议用户自行拆机或秤重检查，因为重量差异并不足以可靠判断设备是否遭动手脚。

从Ledger 已确认的植入案件，到Trezor 最新的可信通报，这波事件凸显出硬件钱包的一项重要风险：即使私钥演算法、安全晶片及软件本身没有遭破解，攻击者仍可能透过实体改装，在使用者设定钱包时窃取敏感资讯。

与直接破解私钥不同，硬件植入攻击利用的是装置在交付消费者前可能遭到接触或修改的机会。这也意味着，传统的原厂包装、外观封条与软件验证机制，未必能防止所有具备实体改装能力的供应链攻击。

Trezor 已表示将缩减并加强管理授权经销商网络，但未来能否建立更有效的硬件完整性验证机制，仍是整个冷钱包产业必须面对的课题。

截至11 月1 日，Trezor Safe 5 事件仍处于调查阶段，尚不能认定已发生新的窃币案；但在相同CryptoBilis 通路已经出现经确认的Ledger 改装案例后，Trezor 选择提前要求用户迁移资产，也反映硬件钱包安全正从「保护私钥」，延伸至「确保装置交到用户手中以前未遭动手脚」。

本文链接地址：https://www.wwsww.cn/hqfx/42220.html
郑重声明：本文版权归原作者所有，转载文章仅为传播更多信息之目的，如作者信息标记有误，请第一时间联系我们修改或删除，多谢。