Trezor Safe 5 遭供应链投毒：3 台设备藏窃密芯片

据 Woofun AI 消息，硬件钱包巨头 于 12 日证实，其经销商 销售的 3 台 "" 设备中嵌入了可窃取屏幕内容的恶意部件，该漏洞仅局限于 8 月至 9 月期间的特定批次，未波及其它型号或渠道。

深入调查揭示，这些被植入恶意硬件的设备均购自 8 月 20 日至 9 月 23 日期间，通过 、 上的 CryptoBilis 店铺或其直销渠道售出。

Woofun AI 整理数据显示，Trezor 在收到 10 月的报告后迅速行动，已联系到 48 名相关用户并正在检测设备状况及内部照片，目前确认受影响用户的资金尚未流失。技术分析指出，恶意部件是一块安装在主电路板与屏幕之间的额外电路板，其工作机制与 设备中发现的类似，专门针对 Safe 5 屏幕设计，能够复制显示内容及输入信息，一旦检测到恢复密码或密码短语，便会将其加密保存并通过移动网络发送至攻击者控制的服务器。

为阻断风险，Trezor 于 11 日发布了版本为 2.13.1 的固件，升级后的设备可防止恶意部件获取信息，但该固件无法保护升级前创建的钱包备份文件，因此官方建议在 CryptoBilis 处购买设备的用户将资金转移至使用新恢复密码生成的钱包中。

与此同时，Trezor 宣布将经销商网络规模缩减约 80%，裁撤的经销商虽无紧迫安全威胁，但不符合其为保障供应链设定的严格新标准；剩余经销商将面临涵盖采购、存储及人员访问权限的严格运营规范。

此外，Trezor 还与加密货币安全应急服务机构 展开合作，并决定不公开可能被用于发动攻击的技术细节。

此次事件暴露了硬件钱包供应链中隐蔽的中间人攻击风险，尽管资金未失，但恢复密码的潜在泄露仍构成重大安全隐患。这是继 Ledger 之后，主流硬件钱包再次遭遇物理层供应链投毒，标志着攻击者正从软件漏洞转向更底层的硬件篡改，迫使行业重新审视分销渠道的安全审计标准。