Trezor 警告 CryptoBilis 用户：Safe 5 被报告发现硬件植入装置

Trezor 收到一份负责任披露报告：一台于 2026 年 8 月经 CryptoBilis 购买的 Trezor Safe 5，疑似被加装额外硬件。设备尚未送达 Trezor 实验室，但官方已提醒自 2026 年 3 月起通过 CryptoBilis 购买设备的用户尽快采取预防措施。

事件概况

2026 年 10 月 30 日，Trezor 公布了一起来自印度尼西亚用户的负责任披露。该用户称，一台 8 月在 Tokopedia 的 CryptoBilis 店铺购买的 Safe 5 内部出现额外电路板。

Trezor 尚未取得实物。根据照片、描述和视频访谈，官方认为该报告具有足够可信度，因此选择先行预警，并将在设备送达后进行实验室检测。现阶段应把它理解为需要认真处理的报告，而非已经完成的法证结论。

事件时间线

此次预警与此前 CryptoBilis 渠道中的 Ledger 设备调查相衔接。由于 CryptoBilis 当时也是 Trezor 授权经销商，Trezor 于 10 月 9 日取消其授权并开始检查用户退回的设备。

此前送检的四台 Trezor 设备均未发现被改装迹象。10 月 28 日收到的另一台 Safe 5 报告，使 Trezor 将预防性建议扩展至自 2026 年 3 月起由 CryptoBilis 提供的全部 Trezor 型号。

被报告的植入装置如何工作

报告者称，设备主板与屏幕之间多出一块电路板，并带有蜂窝通信模块和天线。按照该报告的描述，装置可能读取屏幕显示内容，包括钱包备份信息，并在设备通电时通过移动网络发送数据。

这也说明，固件签名验证并不等于完整的硬件法证检查。若新增组件在内部部件之间截取信息，它不一定需要替换官方签名固件。

哪些用户需要行动

Trezor 的建议适用于自 2026 年 3 月起从 CryptoBilis 购买任何型号 Trezor 的用户，也包括由该渠道供货的电商平台店铺。用户应查看订单和收据中的卖家信息，而不是只凭包装判断。

具体处理步骤

设备已经使用

1. 在可信硬件上创建全新钱包，并生成新的助记词。
2. 在设备屏幕上核对完整收款地址，先发送小额测试。
3. 确认测试到账后，再转移其余资产。
4. 检查旧助记词关联的全部账户、网络以及 Passphrase Wallet。
5. 保留 CryptoBilis 设备和购买凭证，并联系 Trezor Support 了解换机或代金券安排。

不要只把旧助记词恢复到新设备。 如果旧助记词可能已经泄露，更换硬件但不更换助记词，风险仍然存在。

设备尚未设置

不要初始化，也不要输入现有钱包的助记词。保留设备和购买证明，直接联系 Trezor Support。

暂时没有可信硬件

Trezor 表示，可暂时使用熟悉的软件钱包或交易平台。转账前必须逐字核对地址，并在具备条件后迁移到合适的长期保管方案。

对 SIAMBC 客户意味着什么

Trezor 的公告针对 CryptoBilis 供货渠道，并表示目前没有其他经销商涉及类似事件的报告。公告没有把 SIAMBC 列为受影响对象。

在 SIAMBC 购买 Trezor 的客户如需核对型号、订单号或货源，可凭购买记录联系团队。工作人员不会索取助记词、PIN、Passphrase 或私钥。

供应链安全启示

产品是真品，并不代表它在离开工厂后绝对不会被动手脚。硬件钱包的安全还取决于经销商、仓储、运输、退货处理以及交付前的保管记录。

• 优先选择厂商或供货路径清晰的经销商。
• 保留收据，设置前检查包装和封签。
• 只从官方网站获取应用，并按厂商流程安装固件。
• 助记词必须由用户在设备上自行生成，不接受预先写好的备份。
• 避免购买二手设备或来源不明的产品。

Trezor 不建议用户自行拆机或称重。轻微重量差异无法作为结论，拆机也可能损坏设备，却仍然不能可靠排除风险。

常见问题

是否已有用户损失资产？

截至 10 月 30 日，Trezor 表示尚未收到 CryptoBilis 用户的损失报告。提交报告的用户在发现疑点前已转移资产。

所有 Trezor Safe 5 都受影响吗？

不是。报告涉及一台经 CryptoBilis 购买的 Safe 5。Trezor 的预防性建议覆盖范围更广，适用于自 2026 年 3 月起从该卖家购买的全部型号。

封签或设备认证能排除所有硬件植入吗？

不能。它们可发现部分异常，但无法替代完整的物理检查，商品来源仍然非常重要。

设备还未拆封怎么办？

不要设置，也不要输入现有助记词。保留设备和收据，联系 Trezor Support。

客服会索取助记词吗？

正规厂商和经销商都不需要用户提供助记词、PIN、Passphrase 或私钥。应警惕借此事件发送的钓鱼邮件、信件、电话和冒充账号。

资料来源

• Trezor：Implant reported in a Trezor sold by CryptoBilis
• Trezor 在 X 发布的公告
• Ledger 对 CryptoBilis 事件的说明
• Trezor 设备认证说明

本文依据截至 2026 年 10 月 30 日的公开信息整理。Trezor 收到设备并公布实验室结果后，相关细节可能更新。