Trezor Wallet 警告突顯供應鏈風險

Trezor 警告客戶，一部經轉售商 CryptoBilis 購入的 Safe 5 疑似裝有硬件植入物。Trezor 已於 10 月 9 日將 CryptoBilis 移出其認可網絡。一名買家報稱發現額外的電路板，但截至 10 月 30 日，Trezor 仍未收到該裝置作實驗室檢測。公司表示，未有收到客戶蒙受損失的報告。自 2026 年 3 月起，購買由 CryptoBilis 供應裝置的合資格客戶，可申請更換裝置或代用券。Trezor 建議受影響的持有人以全新的恢復短語建立錢包，並轉移資金。如果舊的恢復短語已經外洩，使用它還原錢包並不能保障資產。公司亦提醒客戶提防網絡釣魚，並表示另外四部退回的裝置均未見被篡改的跡象。 這項警告再次令外界關注硬件錢包供應鏈的安全。Trezor 表示，懷疑中的植入物與另一宗 Ledger 個案中的植入物相似，但沒有公開證據顯示兩宗事件或其攻擊者有關聯。Ledger 確認，一部受影響裝置內有植入物，可透過螢幕連接讀取 24 個字的恢復短語，而不會影響安全晶片、作業系統或正常的簽署功能。研究人員就 Ledger 調查相關損失公布了互有重疊的估算：Arkham 於 10 月 29 日追蹤到涉及 1,486 個地址的 9,535 萬美元；Bitquery 則於 10 月 16 日統計出涉及 335 個錢包及六條區塊鏈的 1.02 億美元。這些是各自獨立的估算，不應相加，也不是製造商確認的最終數字。Trezor 個案尚未確認有任何損失。這些事件說明，驗證安全晶片並不等於檢查整個錢包是否被加入額外零件。