Ledger 植入元件案擴大，Trezor Safe 5 也傳遭竄改
硬體錢包商 Trezor 台北時間 10 月 30 日 15:01 在 X 發布公告，表示透過負責任揭露計畫收到通報：一台 2026 年 8 月向東南亞經銷商 CryptoBilis 購買的 Trezor Safe 5，被發現裝有額外的硬體植入元件。
Trezor 還沒有拿到這台裝置，無法自行確認，但根據通報者的描述與視訊訪談，決定把它當成可信通報先行示警。這是 CryptoBilis 事件第一次傳出 Ledger 以外的品牌受影響。Trezor 表示，目前沒有任何 CryptoBilis 買家通報資金損失。
多一塊電路板夾在主機板與螢幕之間，會透過行動網路傳出畫面內容
依 Trezor 在官方部落格的說明，通報描述這台 Safe 5 內部多了一塊電路板，裝在主機板與螢幕之間，帶有行動通訊模組與天線。據通報內容，這個元件會讀取螢幕顯示的資料，包括錢包備份（助記詞），裝置一接上電源就透過行動網路傳出；Trezor 強調這部分還沒有自行驗證。
廣告 - 內文未完請往下捲動
通報者是一名印尼用戶，裝置是在電商平台 Tokopedia 上的 CryptoBilis 商店購買。他在發現植入元件之前，已經先把資金移出這台裝置。Trezor 說，這個元件的運作方式看起來和 Ledger 裝置中發現的類似，但各家硬體錢包的設計不同，調查期間不會做比較，也還不知道幕後是誰；Trezor 正與 Ledger 等調查單位合作，資安團隊會在裝置寄到後檢驗。
CryptoBilis 事件 10 月 9 日首度揭露。Ledger 證實經這家經銷商售出的部分裝置遭植入元件，會在設定時擷取 24 字助記詞並透過 LTE 網路傳出，詳見Ledger 證實間諜晶片外傳助記詞；Ledger 之後要求東南亞六國與香港經銷商下架。
3 月以後向 CryptoBilis 買 Trezor 的用戶，Trezor 建議換新助記詞
Trezor 的建議適用於所有向 CryptoBilis 購買的 Trezor 型號，不限 Safe 5。已經在使用的用戶，應盡快把資金轉到用全新助記詞建立的新錢包，舊的助記詞不要再用在任何硬體或軟體錢包上，因為把遭竄改裝置產生的備份匯入其他裝置並不能解決問題；手邊沒有其他安全的硬體錢包，可以先暫時轉到熟悉的軟體錢包或交易所。還沒設定的用戶不要設定，也不要在這台裝置上輸入既有的錢包備份。
Trezor 表示，2026 年 3 月以後向 CryptoBilis 購買的用戶都可以免費換一台新的 Trezor，或領取等值的購買憑證，原本的裝置要留著並聯繫客服。Trezor 也提醒，秤重不是可靠的檢查方式，用戶也無法自行拆機檢查；通報者雖然是發現重量不同才起疑，但小幅差異可能有其他原因。詐騙集團可能藉這起事件寄送假電郵、實體信件或打電話釣魚，Trezor 客服不會索取助記詞。
Trezor 10 月 9 日 Ledger 事件爆發當天，就已終止 CryptoBilis 的經銷資格，之後檢查了客戶寄回的 4 台 CryptoBilis 裝置，都沒有發現竄改跡象，10 月 13 日也宣布縮減經銷商數量。資安公司慢霧（SlowMist）同日也發出警示，提醒 3 月以後向 CryptoBilis 購買 Trezor 的用戶照 Trezor 的指引處理。Trezor 表示，加密資安緊急應變服務 SEAL 911 也參與了這次的處理。
風險提示
加密貨幣投資具有高度風險，其價格可能波動劇烈，您可能損失全部本金。請謹慎評估風險。
