Trezor更新Safe 5植入調查：僅限CryptoBilis渠道3臺設備，固件2.13.1使植入失效
硬件錢包廠商Trezor於11月12日更新對Trezor Safe 5硬件植入事件的調查結果。公司確認，已發現的植入僅限於2026年8月20日至9月23日期間通過經銷商CryptoBilis（包括其Tokopedia、Shopee店鋪及直接購買）購得的Safe 5設備。
在已檢查的設備中，共確認3臺受影響（含10月報告的一臺，實驗室已檢驗；另外兩臺通過用戶提供的內部照片確認）。3臺設備的擁有者均未報告資金損失。其他經銷商渠道及其他Trezor型號均未發現植入跡象。
Trezor於11月11日發佈固件2.13.1，包含保護措施，可阻止已發現的植入捕獲屏幕內容（包括助記詞和密碼短語），使當前批次植入失效。公司已將經銷商網絡裁減約80%，並對剩餘合作伙伴實施更嚴格的供應鏈管控。調查仍在進行中。
公司建議自2026年3月起通過CryptoBilis購買設備的用戶，將資金轉移至使用新助記詞的新錢包，並可聯繫Trezor支持申請免費更換設備。
原始來源：
標題：Our CryptoBilis investigation: what we found and what we’ve changed
發佈者：Trezor
發佈日期：2026-11-12（頁面標註Nov 11，內容爲更新）
URL：trezor.io/blog/news/our-cryptobilis-investigation-what-we-found-and-what-weve-changed
來源性質：公司官方公告
覈驗情況：本次實際讀取官方博客全文，覈驗日期2026-11-12
支持內容：支持植入範圍限定、3臺確認設備、無資金損失、固件2.13.1功能、經銷商網絡裁減約80%及用戶建議
ABAB AI 解讀
此次事件屬於供應鏈環節的物理篡改，而非Trezor自身製造或固件層面的全面漏洞。植入爲額外電路板，置於主板與屏幕之間，僅監聽並複製屏幕顯示內容後通過移動網絡外傳，不修改設備固件或安全元件。範圍集中在單一經銷商的特定時間窗口，表明問題更可能出在分銷或倉儲環節。
固件更新針對已發現的植入類型提供了軟件層面阻斷，降低後續使用風險。但公司仍建議受影響批次用戶更換助記詞並遷移資金，因爲更新無法覆蓋植入已捕獲的歷史備份。這反映硬件錢包場景下，物理訪問與屏幕信息泄露的不可逆性。
經銷商網絡大幅裁減及更嚴格管控，顯示公司選擇以收緊授權渠道來降低未來供應鏈攻擊面，而非僅依賴設備端檢測。與此前Ledger在同一經銷商渠道出現的類似植入事件並列，凸顯第三方分銷商在硬件錢包安全鏈條中的關鍵節點作用。
後續關注點包括調查是否發現更多設備、是否有資金損失報告，以及公司對剩餘經銷商的具體審計與驗證措施是否公開。用戶側則需區分官方渠道與第三方購買的風險差異。
ABAB News · 認知定律
硬件錢包的供應鏈風險集中在分銷環節時，影響範圍可由購買渠道與時間窗口界定。
固件可阻斷已知植入的後續捕獲，但無法消除已被複制的助記詞歷史風險。