Newshot Trezor 确认 CryptoBilis 所售钱包中存在可窃取恢复短语的隐藏植入物
Trezor 昨日表示，从经销商 CryptoBilis 购买的三款 Trezor Safe 5 钱包含有一个植入物，即一块可复制其恢复短语的额外电路板。
该植入物从钱包屏幕读取短语，并通过移动网络将其发送到攻击者控制的服务器。该公司在实验室检查了其中一个钱包，根据所有者发来的照片确认了另外两个，并且尚未收到资金损失的报告。
该公司表示，本周早些时候发布的固件更新 2.13.1 版可阻止目前发现的植入物在运行该版本的钱包上捕获任何内容，但“该更新无法保护在其之前已被捕获的钱包备份”。
对于自 3 月以来从 CryptoBilis 购买 Trezor 的任何人——包括从该经销商在 Tokopedia 和 Shopee 上的店铺购买的人——该公司并未改变其建议：
- 将资金转移到一个带有新恢复短语的新钱包。在另一个钱包上恢复旧短语并不能解决问题。
- 不要设置来自该经销商的未使用钱包，也绝不要将现有恢复短语输入其中。
- 保留钱包并联系 Trezor Support，其向自 3 月以来从该经销商处购买产品的任何人提供一个新 Trezor 钱包。如果你不确定自己的钱包来自哪里，也请联系支持团队。
- 不要称重或打开钱包来检查。两者都不是可靠的测试。
- 绝不要分享你的恢复短语，因为该公司绝不会索要它。骗子可能会冒充该公司提供更换或退款。
根据该公司的固件变更日志，2.13.1 版已面向 Safe 7、Safe 5、Safe 3 和 Model T 发布。该公司在一份调查更新中表示，不会公布可能帮助攻击者或使客户面临风险的技术细节。
其工程师从首个报告的钱包中提取并分析了植入物的固件。该公司发现，植入物位于 Safe 5 的主板和屏幕之间，不会改变钱包本身的任何内容，包括其固件和 Secure Element。
当钱包在创建备份期间显示恢复短语时，以及当有人输入恢复短语以将现有钱包恢复到设备时，植入物会复制该短语。如果屏幕出现密码短语，它也会复制。它在发送数据前会加密数据；如果无法连接，它会保留数据并重试，直到成功。
该公司首次警告疑似植入物是在 10 月 30 日，即一名买家报告此事两天后，当时其实验室尚未见到该钱包。
CryptoBilis 曾是该公司的钱包在东南亚的官方经销商，直到 10 月 9 日该公司将其移除。就在同一天，另一家硬件钱包制造商 Ledger 开始调查该经销商客户中的资金损失。
Ledger 后来确认，该经销商销售的一款钱包中存在未经授权的植入物。Ledger 在一份事件声明中表示，攻击者用旨在在设置期间捕获恢复短语的隐藏组件改装了正品 Ledger 设备，随后在一次协同行动中清空了钱包。
Trezor 表示，其钱包中的植入物与在 Ledger 设备中发现的植入物工作方式相同，只是针对 Safe 5 的显示屏进行了适配。它尚未说明是谁安装了这些植入物，也未说明这发生在供应链的哪个环节。
这三个钱包是在 8 月 20 日至 9 月 23 日期间购买的。到目前为止，该公司仅在该经销商销售的 Safe 5 钱包中发现植入物，未在其他经销商的钱包或其其他型号中发现。
在10月的报告之后，它请从该经销商处购买过 Trezor 的人与其联系，已有48人照做。它正在实验室中检查这些钱包，或通过内部照片进行检查，但尚未说明到目前为止已经检查了多少个。
公司表示，这三位所有者都没有损失资金。Trezor 钱包是自托管的，因此它无法看到任何人的余额。
公司表示，它已将经销商网络削减约80%，剔除了一些值得信赖、没有直接威胁但不符合其更严格新规的合作伙伴。它于10月13日在 X 上的一篇帖子中首次宣布了这一削减，比首份关于其自家一款钱包被植入的报告早了两个多星期。
在当天的合作伙伴信中，它告知被剔除的经销商，他们将不会获得新库存，可以销售现有库存直至2027年1月1日，之后将被从其授权卖家名单中移除。
它仍在调查。如果确认在经销商的钱包或 Safe 5 之外存在植入物、收到与植入物相关的资金损失报告，或发布新的防护措施，它将发布更新。