Trezor Safe 5 疑遭窜改：Safe 5 经销商售出货品含间谍晶片

据 Woofun AI 消息，硬体钱包领域的资安风暴持续扩散， 确认其 Safe 5 型号产品亦卷入经销商 的植入元件丑闻，这标志著 案的影响范围已突破单一品牌界限，波及整个硬体钱包供应链的信任基础。

事件的核心源头指向一台于 2026 年 8 月透过东南亚经销商 CryptoBilis 购得的 装置。根据负责任揭露计画收到的通报，该装置内部被发现装有额外的硬体植入元件。

尽管 Trezor 尚未实际取得该实体装置进行独立验证，但基于通报者提供的详细描述与视讯访谈内容，官方决定将其视为可信通报并立即发布警示。这是 CryptoBilis 事件首次传出 Ledger 以外的品牌受到影响，显示供应链污染的潜在风险远超预期。目前为止，尚无任何透过 CryptoBilis 购买 Trezor 产品的用户通报发生资金损失，但潜在威胁已确立。

Woofun AI 整理显示，该植入元件的技术架构极具隐蔽性，一块额外的电路板被夹在主机板与萤幕之间，并配备行动通讯模组与天线。据通报内容指出，该元件能在装置接通电源后，即时读取萤幕显示的资料，包括关键的钱包备份资讯即助记词，并透过行动网路将这些敏感数据传出。通报者是一名印尼用户，其装置是在电商平台 上的 CryptoBilis 商店购买。值得庆幸的是，该用户在发现异常前已将资金移出该装置，避免了实质损失。

从风险评估与跨品牌关联的角度来看，Trezor 指出该元件的运作方式与此前在 Ledger 装置中发现的窃密机制相似，但由于各家硬体钱包的内部设计存在差异，调查期间暂不对两者进行直接比较，且幕后黑手身份仍未查明。Trezor 正与 Ledger 及其他调查单位紧密合作，其资安团队将在装置寄达后进行深入检验。回顾时间线，CryptoBilis 事件于 10 月 9 日首度被揭露。当时 Ledger 证实，透过该经销商售出的部分装置遭植入元件，这些元件会在设定阶段撷取 24 字助记词并透过 LTE 网路传出。随后，Ledger 要求东南亚六国与香港的经销商下架相关产品。Trezor 的资安团队强调，虽然技术原理类似，但每起案件的具体实施细节需独立分析，以确保应对措施的精准性。

针对受影响用户的应对指南，Trezor 发布了明确的资金安全建议，适用于所有向 CryptoBilis 购买的 Trezor 型号，不仅限于 Safe 5。对于已经在使用该装置的用户，官方强烈建议尽快将资金转移到使用全新助记词建立的新钱包中。旧的助记词绝对不能再使用于任何硬体或软体钱包上，因为将遭窜改装置产生的备份汇入其他装置并不能解决根本问题，风险依然存在。若手边没有其他安全的硬体钱包，用户可以先暂时将资金转移到熟悉的软体钱包或交易所，以确保资产安全。对于尚未设定装置的用户，Trezor 警告不要进行设定，也不要在该装置上输入既有的钱包备份，以免助记词被植入元件截获。

此外，Trezor 提醒用户，秤重并非可靠的检查方式，因为小幅的重量差异可能有其他原因，且用户无法自行拆机检查内部结构。通报者虽然是因发现重量不同而起疑，但这属于极端情况，普通用户难以复制此检测手段。

在官方补偿方案与调查进展方面，Trezor 承诺，2026 年 3 月以后向 CryptoBilis 购买的用户都可以免费换一台新的 Trezor，或领取等值的购买凭证。用户需保留原本的装置并联系客服以启动换机流程。Trezor 同时警告，诈骗集团可能藉这起事件寄送假电邮、实体信件或打电话进行钓鱼攻击，Trezor 客服绝不会索取助记词，用户需提高警惕。回顾事件处理时间线，Trezor 在 10 月 9 日 Ledger 事件爆发当天，就已终止 CryptoBilis 的经销资格。