3台、80%、8,600万美元：Trezor昨天承认，3台Safe 5里装了能偷助记词的窃听芯片——而同一家店，上个月刚让Ledger用户丢了超8,600万美元。
#Trezor确认3台Safe5设备遭恶意植入
事情是这样的：10月30日，有用户举报自己的Safe 5里多了一块没见过的电路板。Trezor查了半个月，昨天公布结果：48台送检设备里，3台确认被植入，都是8月20日到9月23日之间、从东南亚经销商CryptoBilis买的，渠道是它自己的网店和Tokopedia、Shopee店铺。
这块板子藏在主板和屏幕之间，带蜂窝模块和天线，专门抄屏幕上显示的东西——助记词第一次在屏幕上出现的那一刻，就已经被抄走了。11月11日发布的固件2.13.1，能让这块板子再也抄不到新东西，但已经抄走的助记词，升级救不回来。Trezor的原话是：已经暴露过的备份，依然不安全。
所以Trezor这次下了三剂猛药：固件2.13.1堵住已知的植入；经销商网络砍掉约80%，只留合规最严的；3月之后从CryptoBilis买过设备的用户，可以申请换新机。但最关键的一句，是Trezor自己说的：从CryptoBilis买过设备的人，赶紧把币转到一个用全新助记词建的钱包里。
我的判断：这事最吓人的地方不是3这个数字，是0——到现在，0个Trezor用户报案丢钱，但这不代表安全。助记词被偷是静默的，贼不动手，你永远不知道它已经在你钱包里留了后门。Ledger那边同一家店、同一招，已经丢了7,200万到1.02亿美元，Trezor这次是赶在丢钱之前把盖子掀了。硬件钱包的安全，从来不在芯片多贵，而在你从谁手里买的。
自查三条，照着做：
1、你的硬件钱包是不是官网或授权渠道买的？第三方店铺、拼单、海淘，一律先当可疑。
2、收到先验货：包装封条、设备有没有多余的板子、第一次开机有没有让你跳过验证步骤——有任何不对，先别转币进去。
3、只要怀疑设备动过手脚，别只升级固件：新建钱包、全新助记词、把币转过去，老助记词直接作废。
顺带一句：今天我们自己的打新扫描轮里没有新增被拒项目；PO的池子开了，现价大约是打新价的2倍，没到止盈线，继续盯着。
你的硬件钱包是从官网买的，还是第三方店里买的？买回来之后，你验过包装和设备吗？
这类硬件钱包安全通报我会第一时间跟，关注我，下次再有同类通报，你不用自己翻英文公告。
——包包
#Trezor确认3台Safe5设备遭恶意植入
事情是这样的：10月30日，有用户举报自己的Safe 5里多了一块没见过的电路板。Trezor查了半个月，昨天公布结果：48台送检设备里，3台确认被植入，都是8月20日到9月23日之间、从东南亚经销商CryptoBilis买的，渠道是它自己的网店和Tokopedia、Shopee店铺。
这块板子藏在主板和屏幕之间，带蜂窝模块和天线，专门抄屏幕上显示的东西——助记词第一次在屏幕上出现的那一刻，就已经被抄走了。11月11日发布的固件2.13.1，能让这块板子再也抄不到新东西，但已经抄走的助记词，升级救不回来。Trezor的原话是：已经暴露过的备份，依然不安全。
所以Trezor这次下了三剂猛药：固件2.13.1堵住已知的植入；经销商网络砍掉约80%，只留合规最严的；3月之后从CryptoBilis买过设备的用户，可以申请换新机。但最关键的一句，是Trezor自己说的：从CryptoBilis买过设备的人，赶紧把币转到一个用全新助记词建的钱包里。
我的判断：这事最吓人的地方不是3这个数字，是0——到现在，0个Trezor用户报案丢钱，但这不代表安全。助记词被偷是静默的，贼不动手，你永远不知道它已经在你钱包里留了后门。Ledger那边同一家店、同一招，已经丢了7,200万到1.02亿美元，Trezor这次是赶在丢钱之前把盖子掀了。硬件钱包的安全，从来不在芯片多贵，而在你从谁手里买的。
自查三条，照着做：
1、你的硬件钱包是不是官网或授权渠道买的？第三方店铺、拼单、海淘，一律先当可疑。
2、收到先验货：包装封条、设备有没有多余的板子、第一次开机有没有让你跳过验证步骤——有任何不对，先别转币进去。
3、只要怀疑设备动过手脚，别只升级固件：新建钱包、全新助记词、把币转过去，老助记词直接作废。
顺带一句：今天我们自己的打新扫描轮里没有新增被拒项目；PO的池子开了，现价大约是打新价的2倍，没到止盈线，继续盯着。
你的硬件钱包是从官网买的，还是第三方店里买的？买回来之后，你验过包装和设备吗？
这类硬件钱包安全通报我会第一时间跟，关注我，下次再有同类通报，你不用自己翻英文公告。
——包包
