Trezor警示CryptoBilis买家:Safe 5疑被植入恶意芯片

Trezor Safe 5疑遭植入

Trezor已通知曾从其前东南亚经销商CryptoBilis处购买硬件钱包的用户尽快转移资产,起因是一台Trezor Safe 5设备被报告疑似内含恶意植入。根据该公司10月30日发布的博客公告,相关披露于10月28日送达,涉及一台用户今年8月在印尼电商平台Tokopedia上通过CryptoBilis购入的钱包。买家报告称,在设备主板与屏幕之间发现了一块额外的电路板,上面装有蜂窝通信模块和天线。按照这一描述,该硬件可以读取屏幕上显示的全部内容,包括初始化时生成的恢复词,并在设备接通电源的任何时候通过移动网络将其传出。任何掌握恢复词的人都能在别处重建同一钱包并直接掏空资产,原设备毫无察觉。Trezor表示,公司已审阅买家提供的照片并通过视频与其面谈,但尚未对设备进行实物检验,安全团队正在安排实验室分析。公司判断该报告可信度足以立即采取行动。所有自2026年3月以来从CryptoBilis购买任何型号Trezor设备的用户,均被建议将资产转入一个全新创建的加密钱包,并使用一套全新的恢复词。原因在于,把已经暴露的恢复词导入另一台设备并不能消除风险,恢复词实际上就是钱包私钥的一份可读副本。尚未配置所购设备的买家则被告知立即停止操作,切勿输入任何已有的恢复词。目前没有客户报告资金损失。Trezor正在提供换新设备或覆盖新机费用的代金券,要求买家保留手中的硬件,同时提醒不法分子可能借机发送虚假邮件和来电实施诈骗。公司还指出,拆封或称重均无法可靠判断设备是否被动过手脚。此次响应工作得到了安全联盟旗下应急服务SEAL 911的支持。

Arkham追踪9535万美元被盗资金

CryptoBilis曾是Trezor及其主要竞争对手Ledger在东南亚的授权经销商,同一店铺如今还身处一起已获证实的篡改案件中心。10月9日,Ledger开始调查通过该经销商购买钱包的用户所遭受的损失,随后确认受影响设备内部存在一个未经授权的元件,能够在初始设置时捕获屏幕显示的恢复词,并通过LTE连接外传。该植入独立于设备的安全芯片工作,正常的交易签名不受影响。Trezor在当天将CryptoBilis移出经销商网络,并请用户提交设备受检;截至10月19日,公司共收到四台设备,包括两台Safe 5、一台Safe 7和一台Safe 3,均未发现物理篡改痕迹。而新的披露涉及的是另一台Safe 5,并不在此前列检范围之内。调查人员尚未查明植入者身份,也无法确认两次事件是否出自同一攻击者。Ledger一案的资金融脉相当可观:Arkham Intelligence于10月29日追踪到,10月7日至9日间,疑似被盗资金散布在1486个地址中,总额达9535万美元,其中约1000万美元的USDT已被冻结,其余被盗资金仍在多条区块链网络中持续转移。新加坡警方另报告了两起涉及从本地零售商购买的篡改版Ledger设备的案件,损失合计350万新加坡元。Trezor已收紧其授权经销商名单,并正与Ledger及其他相关方协作调查。公司表示,目前未收到与其他经销商相关的报告,实验室结果出来后将公布更多细节。

COINOTAG观点:两起事件瞄准的是同一个薄弱环节,即恢复词在被攻陷设备上生成的那一刻,而非设备围绕构建的签名芯片。一条供应链后门可以绕过设备内的全部防护,因为机密信息是从屏幕上被读走的,这也是为何从来源不明的卖家手中购入的所谓冷钱包同样可能辜负使用者。Trezor在实验室确认之前就选择向客户发出警告,与双方经销商渠道重叠、且Ledger篡改案已有实锤这一背景直接相关;2026年3月这一时间节点属于预防性划线,并不意味着每一台售出设备都存在问题。接下来有三件事值得追踪:对被报告Safe 5的实验室检验结果,调查人员能否将攻击者与Ledger一案关联起来,以及该地区是否出现更多经销商相关通告。正在权衡存储方案的读者,可先了解硬件钱包的运作原理,再决定资产转移方式。