Trezor 紧急预警：恶意芯片窃取助记词

据 Woofun AI 消息， 发布紧急安全通告，要求自 3 月以来通过 购买的硬件钱包用户立即转移资金。这一举措源于近期发现某款 设备疑似被植入恶意组件，该经销商此前为官方授权渠道，现已被排除出销售网络。

核心风险在于恶意硬件对屏幕信息的实时窃取。一名印度尼西亚用户报告称，其于 8 月通过 Tokopedia 购买的 Trezor Safe 5 内部存在未经授权的电路板。该组件具备通过蜂窝网络外传数据的能力，可直接读取屏幕上显示的钱包恢复密码。

Woofun AI 整理数据显示，尽管 Trezor 尚未将涉事设备送检且未收到实际损失报告，首席商务官丹尼·桑德斯仍认定该报告可信，宁愿提前预警也不愿等待实验室确认结果导致用户资产受损。Trezor 发言人指出，受影响销售规模'非常小'，但承认现有密封包装不足以完全防止此类物理篡改，目前正审查硬件防护措施。

此次事件并非孤立案例，而是行业安全漏洞的延续。10 月 9 日， 确认通过 CryptoBilis 销售的钱包存在类似硬件植入问题并导致加密资产损失。安全研究人员乔·格兰德曾于 8 月向 Trezor 报告，通过 TikTok 和 Facebook 非官方渠道购买的 及 钱包亦遭篡改。Trezor 澄清，其原有的检测机制主要针对固件修改和假冒设备，而此次恶意组件能在不改变固件的情况下读取屏幕内容，从而绕过传统防御。一旦恢复密码泄露，攻击者即可在其他设备上恢复钱包并转移资金。

Trezor 已于 10 月 13 日宣布缩减经销商网络，此次紧急预警进一步暴露了硬件钱包供应链的物理安全短板。随着恶意篡改技术从固件层面向硬件底层渗透，仅依赖官方渠道的密封包装已无法提供绝对保障。这是继 Ledger 安全事件后，主流硬件钱包厂商面临的又一次严峻信任考验，用户需对非官方或边缘渠道保持高度警惕。