Trezor 调查经销商植入事件，确认 3 台设备被篡改，暂未收到用户资金被盗报告

事件摘要

硬件钱包厂商 Trezor 发布公告，通报针对经销商 CryptoBilis 所售设备遭硬件植入一事的调查进展：迄今已检查 48 名联系用户的设备，确认 3 台 Trezor Safe 5 被植入额外电路板，这些设备于 2026 年 8 月 20 日至 9 月 23 日期间通过 CryptoBilis 及其 Tokopedia、Shopee 店铺售出。该恶意硬件隐藏于主板与屏幕之间，可窃取屏幕显示的助记词及密码短语，并通过移动网络回传至攻击者服务器。Trezor 表示目前暂未收到用户资金被盗报告。为应对供应链风险，Trezor 已削减约 80% 的经销商网络，并对保留经销商实施更严格的采购与仓储管控；同时于 11 月 11 日发布 2.13.1 版本固件更新，以阻断现有批次植入物的数据抓取，并宣布自 2026 年 3 月起从 CryptoBilis 购买设备的用户均可申请免费更换新机或退款。