Trezor Wallet 警告凸顯供應鏈風險

Trezor 警告客戶，一台透過經銷商 CryptoBilis 購買的 Safe 5 疑似裝有硬體植入物。Trezor 已於 10 月 9 日將 CryptoBilis 移出其授權網路。一名買家回報發現額外的電路板，但截至 10 月 30 日，Trezor 仍未收到該裝置進行實驗室檢測。公司表示，尚未收到客戶蒙受損失的通報。自 2026 年 3 月起購買 CryptoBilis 供應裝置的合格客戶，可以申請更換裝置或兌換券。Trezor 建議受影響的持有者使用全新的復原詞組建立錢包，並將資金轉移過去。如果舊的復原詞組已經外洩，使用它還原錢包並不能保障資產。公司也提醒客戶留意網路釣魚攻擊，並表示另外四台退回的裝置都沒有遭到竄改的跡象。 這項警告讓硬體錢包供應鏈安全再次受到關注。Trezor 表示，疑似植入物看起來與另一起 Ledger 個案中的植入物相似，但沒有公開證據將兩起事件或其攻擊者連結起來。Ledger 證實，一台受影響裝置內有植入物，可透過螢幕連線擷取 24 個詞的復原詞組，但不會干擾安全晶片、作業系統或正常的簽署功能。研究人員公布了與 Ledger 調查相關、彼此有重疊的損失估算：Arkham 於 10 月 29 日追蹤到涉及 1,486 個地址的 9,535 萬美元；Bitquery 則於 10 月 16 日統計出涉及 335 個錢包及六條區塊鏈的 1.02 億美元。這些估算彼此獨立，不應相加，也不是製造商確認的最終數字。Trezor 個案尚未確認任何損失。這些事件凸顯，驗證安全晶片與檢查整個錢包是否被加裝零組件，是兩回事。