Trezor要求印尼CryptoBilis买家迁移资产：Safe

Trezor 要求今年 3 月起向 CryptoBilis 買過硬體錢包的人，盡快把資產搬到使用新助記詞的新錢包。起因是印尼買家通報 Safe 5 內藏電路板，但原廠尚未驗機，也沒有失竊回報。

（前情提要：Ledger 要求東南亞6國+香港停售！改機案擴大，經銷商全數下架）

（背景補充：新加坡警方警示：遭竄改 Ledger 硬體錢包至少兩案損失約新幣 3,500 萬）

如果你的 Trezor 是今年 3 月之後向東南亞經銷商 CryptoBilis 買的，不管哪個型號，原廠現在都要你盡快把資產搬到使用新助記詞的新錢包。

10 月 28 日，印尼一名買家以負責任揭露（先私下通報原廠、不公開）的方式向 Trezor 通報：8 月經由電商 Tokopedia，向經銷商 CryptoBilis 買的 Safe 5，主機板與螢幕之間多了一塊電路板，帶行動通訊模組與天線。Trezor 在 10 月 30 日的公告公開此事。

這部 Safe 5 真的被改過嗎？

還沒驗。依回報內容（Trezor 註明自己尚未驗證），這塊板子會讀取螢幕顯示的內容，包含助記詞，並在裝置接上電源時經由行動網路傳出去。Trezor 看過回報、照片與收據，也視訊訪談了通報者，把它當成可信通報處理。公告寫明裝置還沒送達，資安團隊收到後才會檢驗；截至 11 月 1 日下午，還沒有鑑識結果的更新。

Trezor 說：「我們看到的內容夠精密，所以決定現在就警告客戶。」被通報的僅此一部，之前買家寄回的 4 部（1 部 Safe 7、2 部 Safe 5、1 部 Safe 3，下單時間在 4 到 8 月）都查不出竄改。

另外，目前也還沒有買家向 Trezor 回報資金損失，但 Trezor 自己說錢包是自託管，原廠看不到任何人的餘額，「沒回報」不等於「沒受害」。這名通報者在發現植入物之前就把資金移走了，也就無從由失竊與否判斷助記詞有沒有外洩。

買過的人現在該做什麼？

先確認來源：凡是銷售 CryptoBilis 供貨裝置的商店都算，包括它在 Tokopedia 的店；不確定就看收據上的賣家名稱，或聯絡客服。其他經銷商目前沒有類似通報。

已在使用的，盡快把資金轉到新助記詞建立的新錢包。把舊助記詞拿到另一部裝置恢復解決不了問題，Trezor 也在 X 上要求別在任何錢包重複使用舊助記詞。手上沒有其他安全的硬體錢包，可暫時轉到熟悉的軟體錢包或交易所，轉帳前核對完整收款地址。還沒開通的，不要設定，也別輸入既有助記詞。

3 月起向 CryptoBilis 買的人，都可領 Trezor 直接寄送的新機，或可抵新機費用的憑證，舊裝置留著並聯絡客服。別自己拆機，Trezor 提醒撬開外殼可能弄壞裝置，Safe 7 內建電池更有危險。秤重也不可靠：這名通報者當初是注意到重量有差異，但 Trezor 說細微差異可能另有原因，秤重無法確認也無法排除竄改。另外，客服絕不會跟你要助記詞，Trezor 預期詐騙集團會借機用假電子郵件、實體信件和電話釣魚。

跟 Ledger 案是同一批人嗎？

不知道。Trezor 說這個植入物「看來運作方式類似」Ledger 裝置上的，但各廠裝置構造不同，調查期間不做進一步比較，也不知道是誰幹的，正與 Ledger 等單位合作。

Ledger 在 10 月 15 日的部落格說，犯罪集團買進正品、裝上定製隱藏元件擷取助記詞，再經東南亞經銷商放回流通。鏈上分析機構 Arkham 估算，竊幣者 10 月 7 日到 9 日從 1,486 個地址偷走 9,535 萬美元。這筆估算屬於 Ledger 案，也不是 Ledger 官方數字；Trezor 這邊目前沒有失竊回報。