Trezor ostrzega klientów CryptoBilis po doniesieniach o implantacji sprzętowej w Safe 5

Producent portfeli sprzętowych Trezor ostrzegł klientów, którzy kupili jego urządzenia od resellera CryptoBilis, aby przenieśli swoje środki, po tym jak kupujący zgłosił znalezienie implantu sprzętowego wewnątrz Trezor Safe 5, jak firma podała w piątek.

Klient z Indonezji zgłosił implant za pośrednictwem programu odpowiedzialnego ujawniania Trezora 28 października, według wpisu na blogu firmy. Safe 5 został kupiony od CryptoBilis za pośrednictwem indonezyjskiej platformy e-commerce Tokopedia w sierpniu 2026 roku.

Zgłoszenie opisuje dodatkową płytkę drukowaną zamontowaną między płytą główną urządzenia a jego ekranem, z modułem komórkowym i anteną. Według zgłoszenia, którego Trezor, jak podał, nie zweryfikował, płytka odczytuje to, co wyświetla ekran, w tym kopię zapasową portfela, i wysyła to przez sieć komórkową za każdym razem, gdy urządzenie jest podłączone do zasilania.

Trezor nie otrzymał jeszcze urządzenia, ale podał, że traktuje zgłoszenie jako wiarygodne na podstawie opisu klienta i wywiadu wideo. „To, co widzieliśmy, wygląda wystarczająco zaawansowanie, że zdecydowaliśmy się ostrzec klientów już teraz” – stwierdził. „Czekanie na potwierdzenie laboratoryjne pozostawiłoby nabywców od CryptoBilis w międzyczasie narażonych”.

Żaden nabywca od CryptoBilis nie zgłosił Trezorowi utraty środków, podała firma.

Trezor zaapelował do wszystkich, którzy kupili jeden z jego portfeli od CryptoBilis od marca 2026 roku, aby jak najszybciej przenieśli swoje środki do nowo utworzonego portfela z nową frazą odzyskiwania i nie używali ponownie starej frazy na żadnym urządzeniu. Nabywcy, którzy nie skonfigurowali jeszcze swojego urządzenia, nie powinni go używać. Dotknięci klienci mogą zachować swoje urządzenie od CryptoBilis i skontaktować się z pomocą techniczną Trezora w sprawie wymiany.

Incydent CryptoBilis

Trezor usunął CryptoBilis z listy sprzedawców 9 października, po tym jak konkurencyjny producent portfeli sprzętowych Ledger rozpoczął dochodzenie w sprawie strat wśród klientów, którzy kupili jego urządzenia u tego południowoazjatyckiego sprzedawcy. Trezor zbadał od tego czasu cztery swoje urządzenia kupione u CryptoBilis – Safe 7, dwa Safe 5 i Safe 3 – i nie znalazł dowodów na manipulacje.

Zespół bezpieczeństwa Donjon firmy Ledger znalazł implant w urządzeniach Ledger sprzedawanych przez CryptoBilis, który odczytuje 24-wyrazową frazę odzyskiwania z ekranu podczas konfiguracji i wysyła ją przez LTE. Blog Trezora podaje, że nowo zgłoszony implant „wydaje się działać podobnie”, choć firma dodała, że nie będzie dokonywać porównań, dopóki dochodzenia trwają, i nie wie, kto za nim stoi.

Ledger poinformował, że wszystkie potwierdzone straty dotyczą urządzeń zakupionych od CryptoBilis, i poprosił sprzedawców na siedmiu rynkach azjatyckich o wycofanie jego urządzeń. Jedną z największych ofiar był oszust, który stracił ponad 60 BTC, o wartości około 4,8 miliona dolarów, według firmy analitycznej ds. blockchain Chainalysis.