[ไม่ยืนยัน] Trezor รับรายงานชิปแอบฝังในกระเป๋าคริปโตจาก CryptoBilis ร้านเดียวกับเคส Ledger

ลูกค้าคนหนึ่งในอินโดนีเซียสังเกตว่ากระเป๋าคริปโต Trezor Safe 5 ของเขาหนักกว่าที่ควร แล้วรายงานว่าพบแผงวงจรแผ่นเกินซ่อนอยู่ระหว่างแผงหลักกับจอ บนแผงมีโมดูลมือถือและเสาอากาศ เครื่องนี้ซื้อจาก CryptoBilis ร้านตัวแทนในเอเชียตะวันออกเฉียงใต้ ร้านเดียวกับที่ Ledger ยืนยันเมื่อต้นเดือนตุลาคมว่าขายเครื่องที่ถูกฝังชิปขโมยวลีกู้คืน

Trezor ผู้ผลิตกระเป๋าฮาร์ดแวร์อีกรายประกาศเรื่องนี้บนบล็อกของบริษัท และบอกตรง ๆ ว่ายังไม่ได้รับเครื่องมาตรวจ จึงยังยืนยันไม่ได้ว่ามีชิปจริง แต่จากคำบอกเล่า ภาพถ่าย และการสัมภาษณ์ผ่านวิดีโอคอล บริษัทถือว่าเป็นรายงานที่น่าเชื่อถือ และเลือกเตือนก่อน เพราะถ้ารอผลแล็บ ผู้ซื้อจากร้านนี้จะเสี่ยงอยู่ระหว่างนั้น

ตามรายงานของผู้แจ้ง แผงนี้อ่านทุกอย่างที่ขึ้นบนจอ รวมถึงวลีกู้คืน (recovery phrase) ซึ่งเป็นกุญแจแม่ของกระเป๋า แล้วส่งออกทางเครือข่ายมือถือเมื่อเสียบเครื่อง เหมือนมีคนแอบซ่อนกล้องไว้ในสมุดที่คุณใช้จดรหัสตู้เซฟ ตู้ยังแข็งแรงเหมือนเดิม แต่รหัสหลุดไปตั้งแต่ตอนจด ต่างกันตรงที่รหัสตู้เซฟยังเปลี่ยนได้ ส่วนวลีกู้คืนที่หลุดแล้วเปลี่ยนไม่ได้ ทางเดียวคือย้ายเงินไปกระเป๋าใหม่

ข่าวดีคือยังไม่มีลูกค้ารายใดแจ้ง Trezor ว่าเงินหาย ผู้แจ้งเองก็ย้ายเงินออกไปก่อนจะพบแผง และเครื่องที่ลูกค้าของ CryptoBilis ส่งกลับไปให้ Trezor ตรวจก่อนหน้านี้ 4 เครื่อง ไม่พบร่องรอยดัดแปลงเลย แต่คำเตือนครอบคลุมกว้าง คือ Trezor ทุกรุ่นที่ซื้อจากร้านนี้ตั้งแต่เดือนมีนาคม 2026 รวมถึงร้านของ CryptoBilis บน Tokopedia ตลาดออนไลน์ของอินโดนีเซีย ส่วนไทย ReadEval ไม่พบหลักฐานว่าร้านนี้ขาย Trezor ในไทย แต่ก็ยืนยันไม่ได้ว่าไม่มีเครื่องจากร้านนี้มาถึงมือคนไทย

ถ้าคุณซื้อ Trezor จาก CryptoBilis ตั้งแต่เดือนมีนาคม 2026 และยังไม่ได้ตั้งค่า อย่าตั้งค่า ถ้าใช้อยู่แล้ว ให้ย้ายเงินไปกระเป๋าใหม่ที่สร้างวลีกู้คืนชุดใหม่ จากนั้นเก็บเครื่องเดิมไว้แล้วติดต่อ Trezor เพื่อขอเครื่องใหม่หรือวอเชอร์ อย่าแกะหรือชั่งน้ำหนักเครื่องเพื่อตรวจเอง ส่วนขั้นตอนละเอียด ไทม์ไลน์ และสิ่งที่ยังไม่มีใครยืนยัน อยู่ด้านล่าง

สรุปประเด็นสำคัญ

• เกิดอะไรขึ้น: วันที่ 28 ต.ค. 2026 ลูกค้าในอินโดนีเซียแจ้ง Trezor ผ่านช่องทางแจ้งปัญหาความปลอดภัยว่าพบแผงวงจรแปลกปลอมใน Trezor Safe 5 ที่ซื้อจาก CryptoBilis ผ่าน Tokopedia เมื่อเดือนสิงหาคม 2026 Trezor บอกว่าแผงนี้ "ดูเหมือนทำงานคล้ายกับที่พบในเครื่อง Ledger"
• ยังไม่ยืนยัน: Trezor ยังไม่ได้รับเครื่องมาตรวจ ข้อมูลว่าแผงอ่านจอและส่งข้อมูลออกไปมาจากผู้แจ้ง Trezor เขียนเองว่า "เรายังไม่ได้ตรวจสอบเรื่องนี้ด้วยตัวเอง"
• ยังไม่มีเงินหาย: Trezor ยังไม่ได้รับรายงานว่าลูกค้ารายใดเสียเงิน และยังไม่มีรายงานที่เกี่ยวกับร้านตัวแทนรายอื่น
• ใครต้องทำอะไร: ผู้ที่ซื้อ Trezor ทุกรุ่นจาก CryptoBilis ตั้งแต่เดือนมีนาคม 2026 ควรย้ายเงินไปกระเป๋าใหม่ที่มีวลีกู้คืนชุดใหม่ และมีสิทธิ์ขอเครื่องใหม่หรือวอเชอร์จาก Trezor

รายงานบอกว่าเจออะไร และอะไรที่ยังไม่มีใครยืนยัน

ส่วน FAQ ในประกาศของ Trezor อธิบายว่า รายงานระบุถึงแผงวงจรแผ่นเกินที่ติดตั้งไว้ภายใน Trezor Safe 5 ระหว่างแผงวงจรหลักกับหน้าจอ มีโมดูลเครือข่ายมือถือและเสาอากาศ และ "ตามรายงาน (เรายังไม่ได้ตรวจสอบเรื่องนี้ด้วยตัวเอง) มันอ่านสิ่งที่แสดงบนจอ รวมถึงข้อมูลสำรองกระเป๋า แล้วส่งออกไปทางเครือข่ายมือถือทุกครั้งที่เสียบเครื่อง" (Trezor เรียกวลีกู้คืนว่า wallet backup)

ผู้แจ้งสังเกตเห็นความผิดปกติจากน้ำหนักที่ต่างไป แต่ Trezor เตือนว่าความต่างเล็กน้อยเกิดจากสาเหตุอื่นได้ จึงใช้ยืนยันหรือตัดความเป็นไปได้ไม่ได้ (ดูหัวข้อ "ชั่งหรือแกะเครื่องเองได้ไหม")

ทำไม Trezor เตือนทั้งที่ยังไม่ได้ตรวจ

Trezor ตอบในประกาศว่า บริษัทได้รับรายงานและภาพถ่าย สัมภาษณ์ผู้แจ้งทางวิดีโอคอล และกำลังจัดการให้ส่งเครื่องมาที่แล็บ "สิ่งที่เราเห็นดูซับซ้อนพอที่เราตัดสินใจเตือนลูกค้าตอนนี้เลย การรอผลยืนยันจากแล็บจะทำให้ผู้ซื้อจาก CryptoBilis เสี่ยงอยู่ระหว่างนั้น" Trezor ขอบคุณ SEAL 911 หน่วยตอบสนองเหตุฉุกเฉินด้านความปลอดภัยคริปโตของ Security Alliance ที่ช่วยดูรายงานนี้และให้คำแนะนำเรื่องการดูแลลูกค้า และบอกว่ากำลังทำงานร่วมกับ Ledger และฝ่ายอื่นที่สอบสวนเรื่องนี้อยู่

ReadEval ประเมินว่า การเตือนก่อนแล้วค่อยยืนยันทีหลังเป็นทางที่ระวังไว้ก่อน เพราะต้นทุนของการเตือนเกินคือผู้ใช้ต้องย้ายเงินหนึ่งครั้ง ส่วนต้นทุนของการเตือนช้าคือวลีกู้คืนที่เรียกคืนไม่ได้

ไทม์ไลน์จาก Trezor

เครื่องของฉันเข้าข่ายไหม

• เข้าข่าย: Trezor ทุกรุ่นที่ซื้อจาก CryptoBilis ตั้งแต่เดือนมีนาคม 2026 เป็นต้นไป แม้รายงานจะเป็น Safe 5 แต่ Trezor ระบุว่า "คำแนะนำของเราใช้กับ Trezor ทุกรุ่นที่ซื้อจาก CryptoBilis"
• ซื้อผ่านตลาดออนไลน์: นับรวมทุกร้านที่ขายเครื่องซึ่ง CryptoBilis เป็นผู้จัดส่ง รวมถึงร้านของ CryptoBilis บน Tokopedia
• ไม่แน่ใจว่าซื้อจากใคร: ดูชื่อผู้ขายในใบเสร็จ หรือติดต่อฝ่ายสนับสนุนของ Trezor
• ซื้อจากร้านอื่น: ณ วันที่ประกาศ Trezor ยังไม่มีรายงานที่เกี่ยวกับร้านตัวแทนรายอื่นหรือภูมิภาคอื่น และบอกว่าจะแจ้งลูกค้าถ้ามีความเปลี่ยนแปลง

ซื้อมาแล้ว ต้องทำอย่างไร

ขั้นตอนนี้มาจากประกาศของ Trezor

ถ้าใช้เครื่องเก็บเงินอยู่แล้ว

1. ย้ายเงินไปกระเป๋าใหม่ที่สร้างวลีกู้คืนชุดใหม่ (new seed) โดยเร็วที่สุด Trezor ย้ำว่า "การนำข้อมูลสำรองที่เครื่องซึ่งถูกดัดแปลงสร้างขึ้นไปใช้บนเครื่องอื่นไม่ได้แก้ปัญหา" พูดง่าย ๆ คือการกรอกวลีเดิมลงเครื่องใหม่ไม่ช่วย เพราะวลีนั้นอาจหลุดไปแล้ว
2. ถ้าไม่มีกระเป๋าฮาร์ดแวร์เครื่องอื่นที่ปลอดภัย Trezor แนะนำให้ย้ายเงินไปไว้ชั่วคราวในกระเป๋าแบบซอฟต์แวร์ หรือกระดานเทรดที่คุณคุ้นเคย
3. ก่อนโอน ให้ตรวจที่อยู่ปลายทางให้ครบทุกตัวอักษร เพื่อไม่ให้โอนผิด Trezor มีคู่มือการส่งเงินใน Trezor Suite ที่ trezor.io/guides

ถ้ายังไม่ได้ตั้งค่า

• อย่าตั้งค่าเครื่อง และอย่ากรอกวลีกู้คืนของกระเป๋าที่คุณมีอยู่ลงในเครื่องนี้เด็ดขาด

ขอเครื่องใหม่หรือวอเชอร์

• ลูกค้าที่ซื้อจาก CryptoBilis ตั้งแต่เดือนมีนาคม 2026 มีสิทธิ์รับ Trezor เครื่องใหม่ที่ Trezor ส่งให้โดยตรง หรือวอเชอร์ที่ครอบคลุมราคาเครื่องใหม่ ให้เก็บเครื่องที่ซื้อจาก CryptoBilis ไว้ แล้วติดต่อฝ่ายสนับสนุนผ่านแชตที่ trezor.io/support ReadEval แนะนำให้พิมพ์ที่อยู่เว็บเอง ไม่ใช่กดลิงก์จากอีเมลหรือข้อความที่ได้รับ

ชั่งหรือแกะเครื่องเองได้ไหม

ไม่ควร Trezor ตอบไว้ใน FAQ ว่า "การชั่งน้ำหนักไม่ใช่การทดสอบที่เชื่อถือได้ และไม่มีวิธีที่ไว้ใจได้ในการตรวจเครื่องด้วยตัวเอง" แม้ผู้แจ้งรายนี้จะสังเกตจากน้ำหนัก แต่ความต่างเล็กน้อยมีสาเหตุอื่นได้ ตาชั่งจึงยืนยันหรือตัดความเป็นไปได้ไม่ได้

ก่อนหน้านี้ Trezor เคยตอบผู้ใช้บน X เมื่อ 12 ต.ค. 2026 ว่าอย่าแกะเครื่อง เพราะการงัดตัวเครื่องอาจทำให้เครื่องเสียหาย และเตือนเรื่องแบตเตอรี่ในตัวของ Safe 7 เป็นพิเศษ (Decrypt รายงาน) ทางที่ Trezor แนะนำคือย้ายเงินออกเพื่อความปลอดภัยไว้ก่อน แล้วติดต่อฝ่ายสนับสนุน

คนไทยเกี่ยวข้องแค่ไหน

• Trezor ไม่ได้ระบุประเทศ: ประกาศเรียก CryptoBilis ว่า "ร้านตัวแทนในเอเชียตะวันออกเฉียงใต้" และระบุเพียงว่าผู้แจ้งอยู่ในอินโดนีเซีย ไม่ได้พูดถึงไทย
• เว็บของร้านเองชี้ไปที่มาเลเซีย: เมื่อ ReadEval เปิดเว็บ cryptobilis.com วันที่ 31 ต.ค. 2026 ร้านแสดงตัวเป็นร้านในมาเลเซีย ตั้งราคาเป็นริงกิต รวมภาษีนำเข้าของมาเลเซีย ส่งของจากกัวลาลัมเปอร์ และมีศูนย์รับเปลี่ยนเครื่องในฟิลิปปินส์ ReadEval ไม่พบการพูดถึงไทย การขายเป็นเงินบาท หรือร้านบน Shopee และ Lazada ของไทย Kim Zetter นักข่าวด้านความปลอดภัย ก็เรียก CryptoBilis ว่า "ร้านตัวแทนที่ได้รับอนุญาตในมาเลเซีย"
• สรุป: ReadEval ไม่พบหลักฐานว่า CryptoBilis ขาย Trezor ในไทย แต่ยืนยันไม่ได้ว่าไม่มีคนไทยซื้อเครื่องจากร้านนี้ เช่น สั่งข้ามประเทศ ถ้าคุณไม่แน่ใจ ให้ดูชื่อผู้ขายในใบเสร็จตามที่ Trezor แนะนำ
• ข้อความบนเว็บร้านยังไม่เปลี่ยน: ณ วันที่ 31 ต.ค. 2026 หน้า Trezor บนเว็บ CryptoBilis ยังเขียนว่าร้านเป็น "ตัวแทนที่ได้รับอนุญาตของ Trezor ในมาเลเซีย" ทั้งที่ Trezor ระบุว่าถอดร้านนี้ออกจากรายชื่อตั้งแต่ 9 ต.ค. ReadEval จึงแนะนำให้ตรวจสถานะตัวแทนจากหน้ารายชื่อของผู้ผลิต (trezor.io/resellers) ไม่ใช่จากข้อความบนเว็บร้าน
• เคส Ledger ต่างออกไป: ในบทความเรื่องชิปแอบฝังในเครื่อง Ledger ไทยอยู่ในรายชื่อ 7 ตลาดที่ Ledger ขอให้ร้านตัวแทนพักขาย แต่นั่นเป็นคำขอของ Ledger ส่วนประกาศของ Trezor ไม่ได้พูดถึงไทยเลย

เรื่องนี้ต่อจากเคส Ledger อย่างไร

ReadEval เขียนถึงชิปแอบฝังในเครื่อง Ledger ที่ขายผ่าน CryptoBilis ไว้แล้ว ทั้งกลไก ยอดความเสียหายที่นักสืบบล็อกเชนประเมิน และวิธีตรวจผู้ขาย จุดใหม่ของข่าวนี้มีสามข้อ

• แบรนด์ที่สอง ร้านเดียวกัน: ตอนเคส Ledger เปิดเผย Trezor ยืนยันว่า "ไม่มีหลักฐานแม้แต่ชิ้นเดียว" ว่าเครื่องของตนถูกเจาะ และเรียกการลดร้านตัวแทนว่า "มาตรการป้องกันไว้ก่อน" Decrypt รายงานว่าสิทธิ์ของร้านตัวแทนที่ถูกตัดจะสิ้นสุดวันที่ 1 ม.ค. 2027 ในประกาศล่าสุด Trezor เขียนว่า "ตอนนี้เราพบหลักฐานว่าเครื่อง Trezor หนึ่งเครื่องอาจได้รับผลกระทบจากการโจมตีแบบเดียวกัน"
• ต่างจากรายงานก่อนหน้า: Zetter รายงานเมื่อ 13 ต.ค. ว่า Joe Grand นักแฮกฮาร์ดแวร์ เคยพบชิปดัดแปลงใน Trezor Model T และ Trezor One สองเครื่องที่ซื้อจากผู้ขายนอกระบบ (Facebook Marketplace ในแคนาดา และร้านบน TikTok) และแจ้ง Trezor ตั้งแต่เดือนสิงหาคม วิธีนั้นต่างกัน คือเปลี่ยนชิปควบคุมให้สร้างวลีกู้คืนจากชุดที่ผู้โจมตีรู้อยู่แล้ว ส่วนรายงานใหม่เป็นรุ่นปัจจุบันที่ซื้อจากร้านซึ่งเคยได้รับอนุญาต และเป็นแผงที่อ่านจอแบบในเคส Ledger
• สิงคโปร์มีคดีแล้ว: ตำรวจสิงคโปร์ออกประกาศเมื่อ 28 ต.ค. 2026 ว่าตั้งแต่ 10 ก.ย. มีอย่างน้อย 2 คดีที่เครื่อง Ledger ซื้อจากร้านค้าปลีกบางแห่งในสิงคโปร์มีชิ้นส่วนอันตราย รวมความเสียหายราว 3.5 ล้านดอลลาร์ตามที่ประกาศระบุ ประกาศไม่ได้ระบุชื่อร้าน และไม่ได้เกี่ยวกับเครื่อง Trezor

ระวังมิจฉาชีพที่อาศัยข่าวนี้

Trezor เตือนว่า "มิจฉาชีพน่าจะใช้เหตุการณ์นี้หลอกผู้ถือคริปโตด้วยฟิชชิง เช่น อีเมลปลอม จดหมายทางไปรษณีย์ และโทรศัพท์" และย้ำว่า "อย่าบอกข้อมูลสำรองกระเป๋า (วลีกู้คืน) กับใครเด็ดขาด ฝ่ายสนับสนุนของ Trezor จะไม่ขอข้อมูลนี้" ประกาศของตำรวจสิงคโปร์ก็เตือนแบบเดียวกันว่าอย่าบอกวลีกู้คืนกับใคร รวมถึงคนที่อ้างว่ามาจากผู้ให้บริการกระเป๋า กระดานเทรด หรือเจ้าหน้าที่รัฐ และให้ระวังข้อเสนอ "ตรวจกระเป๋า" หรือ "กู้กระเป๋า" ที่ไม่ได้ร้องขอ

แหล่งข่าวต่างกันตรงไหน

• "พบ" หรือ "ได้รับรายงาน": Trezor ใช้คำว่า "รายงาน" และยังไม่ยืนยัน แต่อัปเดตบทความของ Zetter วันที่ 30 ต.ค. เขียนว่าเครื่องนี้ "ถูกพบว่ามีชิปแอบฝัง" ReadEval ยึดตามถ้อยคำของ Trezor ซึ่งเป็นแหล่งต้นทาง
• เทียบกับ Ledger ได้แค่ไหน: BleepingComputer เขียนว่าชิปในเคส Trezor กับ Ledger "ดูคล้ายกันทั้งรูปแบบและการทำงาน" ขณะที่ Trezor บอกเพียงว่าแผงนี้ "ดูเหมือนทำงานคล้าย" ของ Ledger และปฏิเสธที่จะเทียบรายละเอียดระหว่างการสอบสวน
• ร้านอยู่ประเทศไหน: Trezor และสื่อส่วนใหญ่เรียก CryptoBilis ว่าร้านในเอเชียตะวันออกเฉียงใต้ Zetter เรียกว่าร้านในมาเลเซีย ส่วนเครื่องที่ถูกรายงานซื้อผ่าน Tokopedia ในอินโดนีเซีย ข้อมูลเหล่านี้ไม่ได้ขัดกัน แต่แสดงว่าร้านขายข้ามประเทศผ่านตลาดออนไลน์