14 万瑞郎是怎么没的
2024 年 3 月某个早上苏黎世的家庭医生 M 打开 Trezor Suite，余额 0。前一晚他的 14 万瑞郎 BTC 被分四笔扫走。他没在外旅行、没把 24 词给过任何人、没连过任何 dApp。只有一台他每天用 PIN 解锁、用了 3 个月的 Trezor One。
送检拆开后看到的
芯片旁边焊了一颗微型 BLE 模块。模块在用户每次输入 PIN 和每次签名时被动监听设备内部总线、通过 BLE 把数据广播给方圆 100 米内的接收端。攻击者不需要进 M 家、不需要接触设备 —— M 在咖啡馆或办公室用过几次，攻击者接收端就能收到模块回传的数据。送检只能确认设备被加装过无线模块；钱具体怎么被转走没法完全还原，最可能是初始化时屏幕显示助记词那一步被截获——所以这台设备生成的助记词从一开始就该当作泄露。问题不在 M 做了什么，问题在设备到达 M 手上之前就被改装过。追溯到 2023 年 12 月 22 日他从 Amazon 第三方卖家买的那台。
三道防线为什么没拦住
硬件钱包品牌官方有三道防线：官网直发避开经销商、包装防拆封（并非所有品牌都用，Ledger 官方就不靠防拆贴）+ 序列号绑定、带安全芯片的机型首次连接 Trezor Suite / Ledger Live 时还会校验设备真伪。M 那台 Trezor One 没有安全芯片，本来就没有这一道；而被植入模块的设备照样正常开机、正常签名，外观和使用上看不出区别。这类改装要靠 X 光、频谱仪才查得出，普通用户做不到，所以最稳的是只从品牌官网直接买新机。
- 硬件钱包不从品牌官网直发 —— 通过 Amazon / 经销商风险显著上升
- 包装防伪贴 / 全息标看起来有过拆封痕迹 —— 可疑；但包装看着完好也证明不了没被动过
- 设备外壳螺丝有微小划痕 —— 拆装过的特征
- 首次连接 Trezor Suite / Ledger Live 提示 真伪校验不过 —— 别往里存币，联系品牌官方支持
怀疑设备被改装的话立刻按《私钥泄露应急 · 五步抢救流程》全套五步，这台设备生成或导入过的助记词一律视同泄露。可以把序列号和拆解照片发给品牌官方支持核实，但别指望赔付。
这个案例的真正用法不是看完点个收藏，而是把识别要点那几条记进脑子里。下次类似场景出现时，让你 3 秒内识破。