10月は攻撃がチップの外側に移ったことを整理しました。再販業者のインプラント、乗っ取られたメール、偽拡張機能などです。
2026年11月2日、Trezorは記事公開時には未公開だった事案を公表しました。CryptoBilis経由（Tokopedia）で購入したTrezor Safe 5に、画面表示（セットアップ時のバックアップ表示を含む）を送信する隠し基板がある可能性が報告されました。10月28日の開示。11月1日のSuite更新でパスフレーズ上限が128文字に（Safe 3/5/7・Model T。Model Oneは50のまま）。
CryptoBilisに関するTrezorの警告
2026年3月以降、CryptoBilis由来の全Trezorモデルが対象。ラボ検証前の予防的警告です。新しいシードで新規ウォレットへ移行してください。古いバックアップの復元は、シードが露出していれば無意味です。未使用端末は初期化しないこと。
同じ再販業者
10月のLedger関連でBitqueryは9,290万ドル／311ウォレットを計測。10月のサプライチェーン記事を参照。
パスフレーズは改ざん端末の対策にならない。パスフレーズFAQ。Clear Signing解説。
10月17日 NGRAVE LIQUIDのプッシュ通知フィッシング（約265万ドル）は別件の信頼チャネル問題。11月3日 Ledgerのファームウェアメールは詳細CVEなし。
対処
改ざんされていない端末でのハードニングとして128文字パスフレーズは有用ですが、画面から漏れたシードは取り戻せません。