Trezor 确认 3 台 Safe 5 被植入窃密硬件：硬件钱包供应链攻击的托管与用户资产保护合规警示

Aiying 艾盈是一家专注于传统金融及Web3的合规咨询服务机构，本文为团队原创，转载需授权。

11 月 12 日，硬件钱包厂商 Trezor 公布对经销商 CryptoBilis 植入事件的阶段性调查结果：在 48 名联系用户的设备中，确认 3 台 Trezor Safe 5 被植入额外电路板，可窃取屏幕显示的助记词与密码短语，但目前没有客户报告资金被盗。

据 Trezor 官方公告，这 3 台设备均于 2026 年 8 月 20 日至 9 月 23 日期间，通过 CryptoBilis 及其 Tokopedia、Shopee 店铺售出。植入物是一块夹在主板与屏幕之间的额外电路板，带蜂窝模块和天线，只读取屏幕显示内容——包括创建钱包备份时显示的助记词、恢复钱包时输入的助记词，以及密码短语——并将截取内容加密后通过移动网络回传攻击者控制的服务器。Trezor 强调，这块植入物「只监听、不改设备」，不碰固件也不碰 Secure Element。

时间线显示 Trezor 的响应早于这次披露。10 月 9 日，Trezor 已终止与 CryptoBilis 的合作关系；10 月 28 日一名印尼买家报告设备疑似被植入，10 月 30 日 Trezor 便警告 CryptoBilis 买家把资金转移到新建钱包。11 月 11 日，Trezor 发布固件 2.13.1，阻断已发现植入物的数据抓取；11 月 12 日完整披露调查进展。

为应对供应链风险，Trezor 宣布将授权经销商网络削减约 80%，并对其余经销商实施更严格的采购、仓储和设备访问管控。自 2026 年 3 月起从 CryptoBilis 购买设备的用户，可申请免费更换新机或退款。Trezor 同时提醒，固件更新无法保护此前已被抓取的旧备份，CryptoBilis 买家仍应将资金转移到使用全新种子短语的钱包。

这起事件与更大范围的硬件钱包供应链攻击相关。据行业报道，同一经销商渠道售出的 Ledger 设备上月被盗逾 8600 万美元，稳定币发行方 Tether 冻结了其中 1000 万美元；Ledger 的调查发现有组织犯罪集团投入数百万美元搭建覆盖物流、种子收集、盗取与洗钱的间谍软件基础设施。Trezor 确认的植入物与 Ledger 设备中发现的植入物工作方式相同，只是适配了 Safe 5 的显示屏。相比之下，Trezor 这 3 台设备暂未出现任何资金被盗报告。

对自我托管钱包的监管也在同步收紧，可对照 法国拟强制申报超10万欧元自托管加密钱包 与 巴西央行新规：自托管钱包大额转账须报告；机构托管资产的冷钱包合规逻辑，可进一步参考 香港 VA 托管牌照与 1/9 号牌组合。

本文仅供信息参考，不构成法律、投资或财务建议；具体申请与合规安排以最新法规及监管机构官方口径为准。转载请注明来源。

本文基于 Trezor 官方公告（2026-11-12） 撰写，Ledger 侧金额数据引自公开报道。