Trezor предупреждает покупателей CryptoBilis после сообщения о внедрённом чипе в Safe 5

Производитель аппаратных кошельков Trezor предупредил клиентов, купивших её устройства у реселлера CryptoBilis, о необходимости перевести свои средства после того, как покупатель сообщил об обнаружении аппаратного импланта внутри Trezor Safe 5, сообщила компания в пятницу.

Клиент из Индонезии сообщил об импланте через программу ответственного раскрытия Trezor 28 октября, согласно публикации в блоге компании. Safe 5 был куплен у CryptoBilis через индонезийскую платформу электронной коммерции Tokopedia в августе 2026 года.

В отчёте описывается дополнительная печатная плата, установленная между основной платой устройства и его экраном, с сотовым модулем и антенной. Согласно отчёту, который, по словам Trezor, она не проверяла, плата считывает то, что отображается на экране, включая резервную копию кошелька, и отправляет это по мобильной сети всякий раз, когда устройство подключено к питанию.

Trezor ещё не получила устройство, но заявила, что считает отчёт достоверным, основываясь на описании клиента и видеоинтервью. «То, что мы увидели, выглядит достаточно изощрённо, поэтому мы решили предупредить клиентов сейчас, — заявила она. — Ожидание лабораторного подтверждения оставило бы покупателей у CryptoBilis уязвимыми в течение этого времени».

Ни один покупатель у CryptoBilis не сообщал Trezor о потере средств, заявила компания.

Trezor призвала всех, кто купил один из её кошельков у CryptoBilis с марта 2026 года и позднее, как можно скорее перевести свои средства в только что созданный кошелёк с новой фразой восстановления и не использовать старую фразу ни на каком устройстве. Покупателям, которые ещё не настроили своё устройство, не следует его использовать. Пострадавшие клиенты могут оставить своё устройство от CryptoBilis и обратиться в службу поддержки Trezor для получения замены.

Инцидент с CryptoBilis

Trezor исключила CryptoBilis из числа реселлеров 9 октября после того, как конкурирующий производитель аппаратных кошельков Ledger начал расследование потерь среди клиентов, купивших его устройства у этого юго-восточноазиатского реселлера. С тех пор Trezor проверила четыре своих устройства, купленных у CryptoBilis, — Safe 7, два Safe 5 и Safe 3, — и не обнаружила признаков вмешательства.

Команда безопасности Donjon компании Ledger обнаружила имплант в устройствах Ledger, проданных через CryptoBilis, который считывает 24-словную фразу восстановления с экрана во время настройки и отправляет её по LTE. В блоге Trezor говорится, что недавно обнаруженный имплант «по-видимому, действует аналогичным образом», хотя компания добавила, что не будет проводить сравнения, пока расследования продолжаются, и не знает, кто за этим стоит.

Ledger заявила, что все подтвержденные потери связаны с устройствами, купленными у CryptoBilis, и попросила реселлеров на семи азиатских рынках отозвать свои устройства. Одной из крупнейших жертв стал мошенник, который потерял более 60 BTC стоимостью около 4,8 млн долларов, согласно данным аналитической блокчейн-компании Chainalysis.