Trezor hat sein Händlernetz um etwa 80 % reduziert und ein Firmware-Update veröffentlicht, nachdem in drei Safe-5-Wallets, die beim ehemaligen Händler CryptoBilis gekauft wurden, Hardware-Implantate gefunden wurden.
Zusammenfassung
- Laut Trezors Untersuchung enthielten drei bei CryptoBilis gekaufte Safe-5-Wallets Implantate.
- Firmware-Version 2.13.1 blockiert die identifizierten Implantate, aber zuvor erfasste Wiederherstellungsphrasen bleiben gefährdet.
- Käufer ab März 2026 haben weiterhin Anspruch auf Ersatz und sollten ihr Guthaben auf neue Wallets übertragen.
- Keine Kunden haben einen Verlust von Guthaben gemeldet, und außerhalb von CryptoBilis wurden keine Implantate bestätigt.
Das Untersuchungsupdate von Trezor vom 12. November besagte, dass Kunden ihre Kryptowährung dennoch in eine neu erstellte Wallet mit einem neuen Seed übertragen sollten, selbst nach der Installation des einen Tag zuvor veröffentlichten Schutzes.
Das Unternehmen erklärte, die entfernten Händler seien vertrauenswürdig gewesen und hätten keine unmittelbare Gefahr dargestellt. Sie erfüllten jedoch nicht die strengeren Handhabungsanforderungen, die bei seinen verbleibenden Partnern eingeführt werden und die Beschaffung, Lagerung und den Zugriff auf Geräte abdecken.
Trezor-Firmware blockiert Implantate, kann aber gefährdete Seeds nicht schützen
Die am 11. November veröffentlichte Firmware-Version 2.13.1 verhindert laut dem Wallet-Hersteller, dass die während der Untersuchung identifizierten Implantate Informationen auf Geräten erfassen, auf denen das Update läuft.
Seine Anweisungen für CryptoBilis-Kunden bleiben jedoch unverändert, da vor der Installation erfasste Wiederherstellungswörter bereits gefährdet sein könnten.
„Wenn Sie bei CryptoBilis gekauft haben, sollten Sie Ihr Guthaben dennoch auf eine neue Wallet mit einem neuen Seed übertragen“, sagte Trezor.
In einer Antwort auf X erklärte das Unternehmen, dass das Implantat die Kommunikation zwischen dem Mikrocontroller und dem Display des Geräts überwacht und dann mit der Aufzeichnung beginnt, wenn es eine bestimmte Sequenz erkennt. Die Ingenieure änderten die Reihenfolge der an den Bildschirm gesendeten Befehle, sodass der Auslöser nicht mehr funktioniert.
Die frühere Kundenwarnung, über die crypto.news berichtete, nachdem Trezor den ersten Implantatbericht erhalten hatte, riet davon ab, die alte Wiederherstellungsphrase in eine andere Hardware- oder Software-Wallet zu importieren.
Kunden, die ein bei CryptoBilis gekauftes Gerät noch nicht konfiguriert haben, wurde gesagt, es nicht einzurichten oder eine bestehende Wallet-Sicherung einzugeben.
Drei betroffene Wallets stammten aus Käufen im August und September
Laut der Untersuchung wurden alle drei betroffenen Safe-5-Geräte zwischen dem 20. August und dem 23. September 2026 über die Tokopedia- und Shopee-Shops von CryptoBilis oder direkt beim Händler gekauft.
Die Ingenieure untersuchten das erste gemeldete Gerät im Labor von Trezor. Die anderen beiden Implantate wurden anhand von Fotos identifiziert, die von ihren Besitzern bereitgestellt wurden.
Seit seinem Oktober-Aufruf an Kunden, sich zu melden, hat das Unternehmen von 48 CryptoBilis-Käufern gehört. Die Prüfungen werden durch Laboruntersuchungen oder Fotos des Geräteinneren durchgeführt.
Trezor erklärte, dass bei allen anderen untersuchten Geräten keine Hinweise auf Manipulation festgestellt wurden. Auch die Inspektion von Wallets anderer Wiederverkäufer in der Region ergab keine Auffälligkeiten, und die Untersuchung hat kein Implantat in einem anderen Trezor-Modell bestätigt.
Das Unternehmen entfernte CryptoBilis am 9. Oktober als autorisierten Wiederverkäufer, nachdem Berichte über manipulierte Ledger-Wallets vorlagen, die über dasselbe Geschäft verkauft wurden. Die erste Warnung über ein vermutetes Trezor-Implantat folgte am 30. Oktober.
Versteckte Leiterplatten erfassten Wiederherstellungswörter vom Bildschirm
Das Embedded-Engineering-Team von Trezor extrahierte und analysierte die Firmware des Implantats, das aus einer zusätzlichen Leiterplatte besteht, die zwischen der Hauptplatine des Safe 5 und dem Bildschirm platziert ist.
Das Unternehmen beschrieb ein Abhörgerät, das die auf dem Bildschirm angezeigten Informationen kopiert, ohne die eigene Firmware der Wallet oder das Secure Element zu verändern.
Es erkennt Wiederherstellungswörter, die während der Erstellung einer Wallet-Sicherung angezeigt werden, sowie Wörter, die bei der Wiederherstellung einer bestehenden Wallet eingegeben werden. Passphrasen, die auf dem Bildschirm erscheinen, können auf dieselbe Weise erfasst werden.
Laut dem technischen Bericht werden die erfassten Informationen verschlüsselt und über ein Mobilfunknetz an einen vom Angreifer kontrollierten Server übertragen. Wenn keine Verbindung verfügbar ist, speichert das Implantat die Daten und versucht es später erneut.
Auf Fragen zur Erkennung von Manipulationen antwortete Trezor, dass es keine offensichtlichen äußeren Unterschiede gebe. Das Öffnen einer Wallet kann sie beschädigen, und ein gut gemachtes Implantat kann selbst mit Referenzfotos schwer zu identifizieren bleiben.
Anspruch auf Ersatz beginnt mit Käufen ab März
Jeder Kunde, der ab März 2026 einen Trezor bei CryptoBilis gekauft hat, hat Anspruch auf einen Ersatz, ein Zeitraum, der über die Kaufdaten der drei identifizierten Geräte hinausgeht.
Versandbeschränkungen können ein anderes Modell mit Rückerstattung der Preisdifferenz, die Lieferung an eine Adresse in einem anderen Land oder eine Rückerstattung erforderlich machen. Kunden sollten ihre Geräte behalten und Hilfe über den Trezor-Support arrangieren.
Das Unternehmen warnte, dass Betrüger sich als Support-Mitarbeiter ausgeben könnten, die Ersatz oder Rückerstattungen anbieten. Seine Mitarbeiter werden Kunden niemals bitten, ihre Wiederherstellungsphrasen mitzuteilen.
