〔品傳媒／綜合外電報導〕硬體錢包製造商Trezor公布針對東南亞前經銷商CryptoBilis的調查結果，證實共有3台Trezor Safe 5遭加裝可竊取助記詞的隱藏電路板，已將授權經銷商網路削減約8成，並於11月11日推出韌體2.13.1，讓目前發現的植入裝置無法再擷取資料。Trezor表示目前沒有客戶回報資金損失，但向CryptoBilis購買的用戶仍應以新助記詞建立新錢包並轉移資產。
重點摘要：Trezor確認3台經CryptoBilis售出的Safe 5內含竊密電路板，經銷商網路砍掉約8成。新韌體2.13.1可封鎖已知植入，但無法保護更新前已外洩的助記詞，受影響用戶仍須換新錢包。
Trezor調查：3台Safe 5遭植入 購自8至9月間
根據Trezor於11月12日發布的官方調查更新，自10月呼籲CryptoBilis買家主動聯繫後，目前已有48名買家回應，公司透過實驗室檢測或設備內部照片逐一檢查。結果共有3台Safe 5確認內含植入裝置，包括10月最早通報的那一台；其中1台經實驗室實機檢驗，另外2台則由車主提供的照片辨識。
逓3台裝置都是在2026年8月20日至9月23日間，透過CryptoBilis在Tokopedia、Shopee的賣場或直接向該經銷商購買。Trezor強調，其餘檢查過的裝置均未發現竄改跡象，區域內其他經銷商的產品、以及Safe 5以外的機型，目前也都沒有發現同類植入。品傳媒先前曾報導Trezor收到首起Safe 5植入通報並發出警示。
| 項目 | 內容 |
|---|---|
| 確認遭植入裝置 | 3台Trezor Safe 5 |
| 購買期間 | 2026年8月20日至9月23日 |
| 主動聯繫的CryptoBilis買家 | 48人 |
| 經銷商網路削減幅度 | 約80% |
| 封鎖植入的韌體 | 2.13.1（11月11日推出） |
| 可申請換新的購買期間 | 2026年3月起向CryptoBilis購買 |
資料來源：Trezor官方部落格、crypto.news
植入裝置如何竊取助記詞？透過行動網路回傳
Trezor嵌入式團隊拆解分析後指出，植入裝置是一塊被夾在Safe 5主機板與螢幕之間的額外電路板，只負責「竊聽」，不會更動錢包韌體或安全晶片（Secure Element）。當螢幕出現助記詞時，不論是建立備份時裝置顯示的單字，還是用戶復原舊錢包時輸入的單字，都會被辨識並儲存，若螢幕上出現密碼詞（passphrase）也一樣會被記錄。擷取的資料會加密後透過行動網路回傳到攻擊者控制的伺服器，連不上線時則會暫存並反覆重試。Trezor表示，其運作方式與先前在Ledger裝置中發現的植入相同。
至於韌體如何阻擋攻擊，Trezor在官方X帳號回覆網友時說明，植入裝置會監聽微控制器與螢幕之間的通訊，在偵測到特定指令序列時開始擷取；工程師調整了送往螢幕的指令順序，讓觸發機制失效。不過，根據crypto.news報導，Trezor也坦承這類植入從外觀幾乎看不出差異，自行拆機容易損壞裝置，做工精良的植入即使對照參考照片也不易察覺。
經銷商網路削減約8成 供應鏈管控全面加嚴
Trezor表示，這次被移除的經銷商本身值得信任、也沒有立即的威脅，但無法符合新的嚴格流程；留下的合作夥伴在裝置來源、倉儲方式及接觸人員等方面都必須遵守更嚴的規範。crypto.news彙整指出，Trezor早在10月9日就因Ledger裝置遭竄改一事，將CryptoBilis從授權名單移除，並於10月30日發出第一次Safe 5疑似遭植入的警示。
在補償方面，凡是2026年3月起向CryptoBilis購買Trezor的客戶，都可申請更換新機；受運送規定限制時，Trezor可能改提供其他機型並退還價差、寄到其他國家地址或直接退款。客戶需保留原裝置，並透過Trezor客服辦理。Trezor同時警告，詐騙集團可能冒充客服以換機或退款為誘餌，官方絕不會索取助記詞。
後續觀察：是否出現其他機型或通路受害
Trezor表示已與資安聯盟的緊急應變服務SEAL 911合作，但不會公開可能幫助攻擊者的技術細節。公司將在三種情況下更新調查：在CryptoBilis以外的通路或Safe 5以外的機型發現植入、出現與植入相關的資金損失通報，或推出新的防護機制。這起事件也再次凸顯，硬體錢包的風險不只在裝置本身，購買通路與供應鏈同樣關鍵。
常見問題 FAQ
哪些Trezor用戶受到影響？
目前確認的只有向東南亞經銷商CryptoBilis購買的Trezor Safe 5。Trezor尚未在其他經銷商或其他機型發現植入，若不確定裝置來源，可聯繫官方客服。
更新韌體2.13.1就安全了嗎？
不完全是。新韌體可阻止已知植入繼續擷取資料，但若助記詞在更新前已外洩，韌體無法補救，因此CryptoBilis買家仍應以新助記詞建立新錢包並轉移資產。
如何降低買到竄改硬體錢包的風險？
Trezor建議直接向官方網站購買，並且絕不與任何人分享助記詞。如懷疑裝置遭竄改，應先停止使用、保留裝置並聯繫官方客服。
參考資料
- Trezor：Our CryptoBilis investigation: what we found and what we’ve changed
- crypto.news：Trezor cuts reseller network 80% after finding 3 wallet implants
- Trezor官方X帳號：植入觸發機制說明（2026年11月12日）
※本文內容僅供資訊參考，不構成任何投資建議。加密貨幣價格波動劇烈，投資前請審慎評估自身風險承受能力。
※本文由 AI 輔助撰寫。首圖為示意圖（圖／Pixabay）。
