加密貨幣硬件錢包品牌 Trezor 確認，3 部經東南亞前授權經銷商 CryptoBilis 售出的 Trezor Safe 5 藏有植入板，可偷錄錢包恢復詞及額外密碼，再經流動網絡傳給攻擊者。涉事錢包均在 8 月 20 日至 9 月 23 日購買，Trezor 表示暫未有客戶報失資金，並已推出新韌體及削減約 80% 經銷網絡。
CryptoBilis 原為授權經銷商 Trezor 接報 Safe 5 植入板
CryptoBilis 原是 Trezor 在東南亞的官方授權經銷商，但 Ledger 確認早前經它售出的部分 Ledger 硬件錢包遭實體篡改，屬精密的供應鏈攻擊，這些 Ledger 個案與加密貨幣失竊有關；Trezor 接報 Ledger 裝置被篡改後，於 10 月 9 日將 CryptoBilis 從經銷商名單除名。
其後一名身在印尼的 Trezor 客戶通報，指從 CryptoBilis 的 Tokopedia 網店買入的 Safe 5 內藏未經授權的電路板。Trezor 於 10 月底發出警告，當時仍未收到裝置，未能確認植入板的功能。
Safe 5 植入板偷恢復詞 暫限 CryptoBilis 貨
Trezor 表示，Safe 5 植入板加裝在主機板與螢幕之間，會複製螢幕顯示及在裝置上輸入的內容。植入板可辨認建立備份時顯示、或恢復錢包時輸入的恢復詞（seed，即錢包備份），以及顯示在螢幕上的額外密碼（passphrase），再將資料加密，經流動網絡傳到攻擊者控制的伺服器。
植入板連不上網時會保留資料並持續重試，但不會改動錢包的韌體或安全元件（Secure Element）。Trezor 實驗室已檢查最初接報的裝置，另外 2 部則根據機主寄來的內部相片確認；3 部分別經 CryptoBilis 的 Tokopedia、Shopee 網店及直接向該經銷商購買。
Trezor 指目前發現的植入板只限經 CryptoBilis 售出的 Safe 5，檢查區內其他經銷商的裝置及其他 Trezor 型號均未發現植入板。10 月底警告發出後共有 48 名 CryptoBilis 客戶聯絡公司，他們的裝置仍在實驗室或透過相片檢查中。
Trezor 稱 2.13.1 韌體令現有植入板失效
Trezor 表示，Safe 5 的 2.13.1 韌體加入保護，令已發現的植入板在運行新版本的裝置上無法截取資料。新韌體於 11 月 11 日推出，但公司只確認它對現有這批植入板有效，未有交代能否阻擋日後的變種。
更新無法保護之前可能已被截取的錢包備份，因此 Trezor 建議 CryptoBilis 買家將資金轉到以新恢復詞建立的錢包。2026 年 3 月起從 CryptoBilis 購買 Trezor 的客戶，即使裝置未確認受影響，亦可獲換新機；運送受限的國家可安排換其他型號並退回差價、寄往其他國家的地址或退款。
Trezor 建議日後直接透過官方網站購買，亦提醒騙徒可能冒充公司提供換機或退款，客戶應只透過 Trezor 官方支援網站聯絡。
Trezor 削減約 80% 經銷網絡
Trezor 已確認前授權經銷商 CryptoBilis 售出的 3 部 Safe 5 藏有植入板，並以韌體更新及換機處理，暫未有客戶報失資金。惟 Trezor 錢包屬自託管，公司看不到用戶結餘，未有報失不等於已核實所有人沒有損失。
Trezor 已削減約 80% 的經銷網絡，並要求餘下經銷商遵守更嚴格的裝置採購、儲存及接觸權限規則。公司稱被剔除的夥伴值得信任，沒有構成即時威脅，只是不符合新流程。
CryptoBilis 售出涉事錢包時仍是授權經銷商，換言之買授權貨未必足以排除供應鏈風險，經銷商如何保管裝置亦可能影響安全。買硬件錢包時，我們信任品牌之餘，是否也要留意裝置經過誰的手？
來源：Trezor
