11 月 12 日，Trezor 公布了实验室的结论。十月三十号我们写过这事，当时还只是一位印尼买家的怀疑，一台 Safe 5 里多了一块带手机模块的电路板，机理没证实，也没人报告丢钱。现在结果出来了，三台 Safe 5 里都确认装了这种植入芯片，都是今年 8 月 20 号到 9 月 23 号之间从同一家经销商 CryptoBilis 买的，渠道包括它自己的店和 Tokopedia、Shopee 上的店铺。
芯片夹在主板和屏幕之间，钱包自己的固件和安全芯片一个字都没被改过，所以正品校验查不出来。它盯着屏幕看，建钱包时屏幕上显示的助记词、恢复钱包时输进去的助记词、屏幕上出现过的密码短语，它都抄下来，加密之后用手机信号发给攻击者的服务器。好消息是，这三台的机主到现在都没报告丢钱。Trezor 也说了，这套手法和之前 Ledger 设备里发现的那批是一个路数，只是换到了 Safe 5 的屏幕上。
这件事扎心的地方，是信任链断在了最不该断的一环。很多人买硬件钱包就是图个安心，默认只要是正品就没问题，结果问题出在经销环节。CryptoBilis 早在 10 月 9 号就被 Trezor 移出了授权经销商名单，可它之前卖掉的设备还在不少人手里。从 10 月提醒到现在，已经有 48 位买家联系 Trezor 送检或者发照片核对，目前只确认了这三台。Trezor 顺手把授权经销商网络砍了约八成，剩下的要过更严的审核。
11 月 11 号 Trezor 发了固件 2.13.1，装上之后，已经发现的这批芯片就再也偷不到新东西了。但这句话有个前提，固件救不了已经被抄走的助记词。升级之前你的助记词要是已经被发出去过，升级完它还在攻击者手里。
今晚就能做的三件事。第一，从 CryptoBilis 买过 Trezor 的，今年 3 月之后买的都算，先把固件升到 2.13.1，再在干净设备上建一个带全新助记词的钱包，把币转过去。只升固件不管用，把旧助记词恢复到新钱包里也不管用。第二，以后买硬件钱包先去官网查一眼这家在不在授权名单上，第三方店铺和电商平台的便宜货，便宜的那部分可能就是你省掉的检查。第三，任何以换新机、退款、帮你查设备为由头找你要助记词的人，一律当骗子，官方客服永远不会要这个。
你的硬件钱包是从官网买的，还是第三方店铺买的？
—— web3韭菜小凯
本内容仅为个人观点分享，不构成投资建议，请自行判断。