Trezor 警告 CryptoBilis 買家：Safe 5 遭爆硬體植入

硬體錢包製造商 Trezor 警告曾向經銷商 CryptoBilis 購買其裝置的客戶轉移資金，此前一名買家報告在一台 Trezor Safe 5 內發現硬體植入物，該公司於週五表示。

根據該公司部落格文章，一名印尼客戶於 10 月 28 日透過 Trezor 的負責任揭露計畫報告了該植入物。該 Safe 5 是於 2026 年 8 月透過印尼電商平台 Tokopedia 向 CryptoBilis 購買。

該報告描述了一塊額外的電路板，安裝在裝置主機板與螢幕之間，帶有行動通訊模組與天線。根據該報告（Trezor 表示尚未驗證），這塊電路板會讀取螢幕顯示的內容，包括錢包備份，並在裝置插電時透過行動網路將其傳送出去。

Trezor 尚未收到該裝置，但表示根據客戶的描述與一段視訊訪談，他們認為該報告可信。「我們所看到的情況看起來足夠精密，因此我們決定現在就警告客戶，」該公司表示。「若等待實驗室確認，將使 CryptoBilis 的買家在此期間暴露於風險之中。」

該公司表示，目前尚無 CryptoBilis 買家向 Trezor 報告資金損失。

Trezor 呼籲自 2026 年 3 月起曾向 CryptoBilis 購買其錢包的人，盡快將資金轉移到使用新復原短語的新建立錢包，且不要在任何裝置上重複使用舊短語。尚未設定裝置的買家不應使用該裝置。受影響的客戶可以保留其 CryptoBilis 裝置，並聯繫 Trezor 支援以取得替換品。

CryptoBilis 事件

Trezor 於 10 月 9 日撤銷了 CryptoBilis 的經銷商資格，此前競爭對手硬體錢包製造商 Ledger 開始調查從這家東南亞經銷商購買其裝置的客戶所遭受的損失。Trezor 此後檢查了從 CryptoBilis 購買的四台裝置，包括一台 Safe 7、兩台 Safe 5 和一台 Safe 3，並未發現任何遭竄改的證據。

Ledger 的 Donjon 安全團隊發現，透過 CryptoBilis 銷售的 Ledger 裝置中有一個植入物，會在設定過程中從螢幕讀取 24 字恢復短語，並透過 LTE 將其傳送出去。Trezor 的部落格表示，新通報的植入物「運作方式似乎類似」，但該公司補充說，在調查進行期間不會進行比較，也不知道幕後主使者是誰。

Ledger 表示，所有已確認的損失都涉及從 CryptoBilis 購買的裝置，並要求七個亞洲市場的經銷商下架其裝置。根據區塊鏈分析公司 Chainalysis 的說法，最大的受害者之一是一名詐騙者，他損失了超過 60 枚 BTC，價值約 480 萬美元。