如果你的 Trezor 硬件钱包是 2026 年 3 月以后，从东南亚经销商 CryptoBilis（包括它在 Tokopedia 等平台的店铺）买的，现在最稳妥的做法是：新建一个钱包、换一套新的恢复词，把资产转过去。这是 Trezor 官方在 10 月 30 日发出的提醒，下面把事情经过和该怎么做讲清楚。
先说明一点：Trezor 目前还没拿到涉事设备做实验室检测，也没有 CryptoBilis 的买家向它报告资产被盗。官方是在“尚未最终确认”的情况下提前预警，给可能受影响的人留出时间。
事情是怎么被发现的
据 Trezor 披露，线索来自印度尼西亚的一位买家。他今年 8 月通过 CryptoBilis 在 Tokopedia 上买了一台 Trezor Safe 5。Trezor 在 10 月 28 日收到他的报告，看过照片，还和他视频通话了解情况。这位买家在发现异常之前，已经把资产转到了别处。
按他的描述，设备主板和屏幕之间多了一块额外电路板，还带有蜂窝通信模块和天线。据称这块硬件能读取屏幕上显示的内容（包括恢复词），并在钱包插上电脑时通过移动网络发出去。
要注意，这些功能 Trezor 都还没有核实，设备正在安排寄往它的实验室。Trezor 也没有查明是谁干的，目前在和 Ledger 等机构一起调查。
和之前的 Ledger 事件有什么关系
CryptoBilis 之前是 Trezor 和 Ledger 在东南亚的授权经销商。此前 Ledger 从 10 月 9 日起调查客户资产损失，随后确认有设备被物理植入硬件，恢复词被截获并经蜂窝网络传出。这次 Trezor 的报告，被视为同一条供应链问题的延伸。
Trezor 在 10 月 9 日就把 CryptoBilis 移出了经销网络，并表示没有收到涉及其他经销商的报告。此前它还给合作伙伴发过信，计划大幅精简经销商，逐一核查剩下的每一家：收到信的经销商 2027 年 1 月 1 日起失去授权，新货立即停发，库存可卖到那天为止。
谁需要处理：一张表看懂
| 你的情况 | 建议做法 |
|---|---|
| 2026 年 3 月起从 CryptoBilis（含 Tokopedia 店铺）买的 Trezor，已在用 | 新建钱包并生成新的恢复词，把资产转过去 |
| 同上，但还没初始化 | 保持不初始化，不要往里输入任何已有恢复词 |
| 从 Trezor 官网或其他渠道买的 | Trezor 称未收到涉及其他经销商的报告，可继续关注官方公告 |
具体该怎么做
- 准备一个确认可信的新钱包。优先选从官方渠道买的新硬件钱包。
- 在新钱包上生成全新的恢复词，不要把旧设备的恢复词“恢复”到别的设备上。恢复词本身可能已经暴露，换设备解决不了问题。
- 把资产转到新钱包地址。转账前完整核对接收地址，别只看开头结尾几位。
- 手边暂时没有新硬件钱包的话，Trezor 建议可以临时用自己熟悉的软件钱包或交易所过渡。
- 不要拆开设备，也不要靠称重判断有没有被动过手脚。Trezor 说这两种办法对普通用户都不可靠。
- 符合条件的买家可以联系 Trezor 客服，申请直接寄送的替换设备或购买新设备的优惠券。
为什么恢复词这么关键
硬件钱包的作用，是把私钥留在设备里，只在你确认后才签名交易。恢复词（也叫助记词、种子短语）是备份：设备丢了，可以靠它在新设备上找回资产。反过来说，谁拿到了恢复词，谁就能在别处把资产转走，根本不需要你的设备。所以一旦怀疑恢复词在生成或显示的过程中被偷看，唯一彻底的办法就是换一套新的。
这也提醒咱们：买硬件钱包尽量走厂商官网或明确授权的渠道，别图便宜买二手或来路不明的货。另外，加密资产相关的钓鱼和假扩展也不少，可以看看我们之前写的《Firefox 假钱包扩展窃取助记词：Phantom、Jupiter、Bitget 被冒充》，账号层面的防护则可以参考《密码安全别踩坑：这 6 个常见错误，让你的账号处处是漏洞》。
常见问题（FAQ）
我的 Trezor 是在官网买的，需要换吗？
官方这次点名的是 2026 年 3 月起经 CryptoBilis 供货的设备，并说没有收到涉及其他经销商的报告。不在这个范围内的话，先留意官方后续通报即可。
已经有人因此丢币了吗？
截至 Trezor 10 月 30 日的声明，没有 CryptoBilis 买家向它报告资产损失。不过 Ledger 方面此前已确认有客户资产受损，两件事是否同源还在调查中。
把旧恢复词导入另一台设备行不行？
不行。恢复词如果已经泄露，导到哪台设备都一样不安全，必须生成全新的。
能自己拆开看有没有多出来的电路板吗？
Trezor 不建议。拆机和称重都不是可靠的消费级检测办法，还可能损坏设备。
总结
事件还在调查中，部分细节没有被证实。但对 2026 年 3 月后经 CryptoBilis 买的 Trezor 来说，“新钱包 + 新恢复词 + 转移资产”是成本最低的保险做法。本文依据 Trezor 在 2026 年 10 月 30 日的公开声明整理，不构成投资或法律意见，后续进展请以 Trezor 官方公告为准。
来源：Trezor 官方 X 账号（@Trezor）2026 年 10 月 30 日发布的 CryptoBilis 更新声明。