Trezor钱包警告凸显供应链风险

Trezor警告称，通过经销商CryptoBilis购买的一台Safe 5疑似被植入额外硬件。Trezor已于10月9日将该经销商移出授权网络。买家称发现一块额外电路板，但截至10月30日，Trezor尚未收到设备进行实验室检测。公司表示尚未收到客户资金损失报告。自2026年3月起购买CryptoBilis供货设备的符合条件用户可申请替换设备或代金券。Trezor建议受影响用户使用全新的恢复短语创建钱包并转移资金；如果旧短语已经泄露，仅用它在新设备上恢复钱包并不能保护资产。公司还提醒用户警惕钓鱼攻击，并表示另外四台退回设备未发现被篡改迹象。 这项警告再次引发对硬件钱包供应链安全的关注。Trezor称，疑似植入物与另一起Ledger事件中的植入物看起来相似，但目前没有公开证据证明两起事件或攻击者有关联。Ledger确认一台受影响设备中存在植入物，该组件可通过屏幕连接获取24个单词的恢复短语，同时不影响安全芯片、操作系统或正常签名功能。研究机构公布了与Ledger调查相关、彼此重叠的损失估算：Arkham于10月29日追踪到涉及1,486个地址的9,535万美元；Bitquery于10月16日统计了涉及6条区块链、335个钱包的1.02亿美元。这些估算彼此独立，不能相加，也不是厂商最终确认的金额。Trezor事件目前没有确认任何损失。这些事件凸显，验证安全芯片并不等同于检查整台钱包是否被加装部件。