〔品傳媒／綜合外電報導〕硬體錢包製造商Trezor於台灣時間30日發布安全公告指出，一名印尼用戶通報，其透過東南亞經銷商CryptoBilis購買的Trezor Safe 5內部疑似遭加裝竊密電路板，可能讀取螢幕上的錢包備份並經由行動網路外傳。Trezor表示尚未取得實機檢驗，但認為通報內容可信，呼籲自2026年3月起向CryptoBilis購買Trezor裝置的用戶，盡快把資產轉移到以全新助記詞建立的新錢包。這是繼Ledger本月稍早在同一經銷商售出的裝置中發現LTE竊密模組後，又一起硬體錢包供應鏈安全事件。
重點摘要：Trezor於10月28日接獲通報，指一台Safe 5被加裝含行動通訊模組與天線的電路板，官方尚未驗證但視為可信。目前沒有CryptoBilis買家向Trezor回報資金損失；官方建議受影響用戶以新助記詞建立新錢包，並可申請更換裝置。
Trezor Safe 5疑遭植入竊密模組 通報者經Tokopedia購入
根據Trezor官方部落格公告，該公司安全團隊於10月28日透過負責任揭露（responsible disclosure）管道接獲通報。通報者在2026年8月經由印尼電商平台Tokopedia，向CryptoBilis購入一台Trezor Safe 5，事後發現裝置主機板與螢幕之間多出一塊電路板，上面配有行動通訊模組與天線。依通報者描述，這塊電路板可讀取螢幕顯示內容，包括錢包備份資訊，並在裝置接上電源時透過行動網路傳送出去。
Trezor強調，公司目前尚未收到、也還沒檢驗這台裝置，上述運作方式仍屬通報內容；不過根據通報者提供的說明、照片與視訊訪談，官方將此案視為可信通報。Trezor也指出，通報者在發現異狀前已先將資金移出，目前沒有任何CryptoBilis買家向Trezor回報資金遭竊。
據Decrypt報導，Trezor表示這個植入物「運作方式似乎類似」Ledger案中的裝置，但在調查進行期間不願直接比較，也不清楚幕後主使者是誰。
Trezor建議CryptoBilis買家：以新助記詞建立新錢包
Trezor在公告中針對不同情況提出因應建議，整理如下：
| 用戶情況 | Trezor建議 |
|---|---|
| 2026年3月以後向CryptoBilis購買且已在使用 | 盡快將資產轉移至以全新助記詞建立的新錢包；在其他裝置還原舊備份無法解決問題 |
| 手邊沒有其他安全的硬體錢包 | 可暫時改用軟體錢包或自己信任的交易所，轉帳前仔細核對完整收款地址 |
| 尚未開始設定裝置 | 不要設定，也絕不要在該裝置輸入既有的助記詞 |
| 所有相關用戶 | 不要自行秤重或拆機檢查；不向任何人透露助記詞 |
資料來源：Trezor官方公告
Trezor同時提醒，受影響用戶接下來可能遭遇電子郵件、信件或電話形式的釣魚詐騙，而Trezor客服絕不會索取助記詞。符合資格的用戶可保留原裝置並聯繫客服，由Trezor寄送新裝置或提供折價券。官方另說明，通報者雖察覺裝置重量有差異，但秤重並不是可靠的檢測方法。
CryptoBilis風波延燒 Ledger先前已發現LTE竊密模組
這起通報與本月稍早爆發的Ledger事件相互呼應。根據Decrypt於10月13日的報導，Ledger旗下Donjon安全團隊在CryptoBilis售出的Ledger裝置中發現未經授權的硬體植入物，會在設定過程中讀取螢幕上的24字助記詞，再透過預先配置的eSIM以LTE網路外傳；Ledger表示該植入物並未修改安全晶片或作業系統，也不會竄改交易或簽章。鏈上調查人員Specter追蹤到橫跨以太坊、Tron與比特幣網路、疑似遭竊逾8,600萬美元的資產，但Ledger尚未證實受害人數與總損失金額。
Trezor在公告中表示，已於10月9日、也就是Ledger開始調查CryptoBilis客戶資金損失的同一天，終止CryptoBilis的官方經銷資格。Decrypt報導並指出，Trezor先前檢查過4台CryptoBilis售出的裝置，包括1台Safe 7、2台Safe 5與1台Safe 3，均未發現遭竄改跡象；Ledger則已要求7個亞洲市場的經銷商下架其裝置。
後續觀察：實機鑑定結果與受影響範圍
Trezor表示，相關調查仍在進行中，將在取得通報裝置後進一步檢驗。由於此次通報的植入物尚未經官方證實，後續實機鑑定結果、是否還有其他裝置受影響，以及Trezor與Ledger兩起事件是否出自同一來源，將是市場與資安社群關注的焦點。
常見問題 FAQ
哪些Trezor用戶需要採取行動？
依Trezor公告，2026年3月以後透過CryptoBilis購買Trezor硬體錢包的用戶，應盡快將資產轉移至以新助記詞建立的新錢包。尚未設定的裝置則不應啟用。
這個植入物如何威脅資產安全？
根據通報內容，植入的電路板可讀取螢幕顯示的錢包備份，並透過行動網路外傳；取得助記詞的人即可控制對應錢包內的資產。Trezor表示目前尚未驗證這項描述。
把舊助記詞還原到另一台裝置是否就安全？
不是。Trezor明確表示，在其他裝置還原舊備份無法解決問題，必須建立全新助記詞的錢包並轉移資產，且不應再使用舊助記詞。
參考資料
- Trezor：Implant reported in a Trezor sold by CryptoBilis
- Decrypt：Trezor Warns CryptoBilis Buyers After Report of Hardware Implant in Safe 5
- Decrypt：Ledger Finds LTE Implant That Stole Recovery Phrases in Suspected $86M Drain
※本文內容僅供資訊參考，不構成任何投資建議。加密貨幣價格波動劇烈，投資前請審慎評估自身風險承受能力。
※本文由 AI 輔助撰寫。首圖為示意圖（圖／Freepik）。