Trezor zredukował swoją sieć sprzedawców detalicznych o około 80% i wydał aktualizację oprogramowania układowego po odkryciu implantów sprzętowych w trzech portfelach Safe 5 zakupionych od byłego sprzedawcy CryptoBilis.
Podsumowanie
- Trzy portfele Safe 5 zakupione od CryptoBilis zawierały implanty, zgodnie z dochodzeniem Trezora.
- Wersja oprogramowania układowego 2.13.1 blokuje zidentyfikowane implanty, ale wcześniej przechwycone frazy odzyskiwania pozostają ujawnione.
- Kupujący od marca 2026 r. nadal kwalifikują się do wymiany i powinni przenieść środki do nowych portfeli.
- Żaden klient nie zgłosił utraty środków, a żadne implanty nie zostały potwierdzone poza CryptoBilis.
Aktualizacja dochodzenia Trezora z 12 listopada investigation update stwierdziła, że klienci nadal powinni przenieść swoją kryptowalutę do nowo utworzonego portfela z nowym ziarnem, nawet po zainstalowaniu ochrony wydanej dzień wcześniej.
Firma stwierdziła, że usunięci sprzedawcy detaliczni byli godni zaufania i nie stanowili bezpośredniego zagrożenia. Nie spełniali jednak surowszych wymogów dotyczących obsługi wprowadzanych u pozostałych partnerów, obejmujących sposób pozyskiwania, przechowywania i dostępu do urządzeń.
Oprogramowanie układowe Trezora blokuje implanty, ale nie może chronić ujawnionych ziaren
Wydana 11 listopada wersja oprogramowania układowego 2.13.1 uniemożliwia implantom zidentyfikowanym podczas dochodzenia przechwytywanie informacji na urządzeniach z tą aktualizacją, zgodnie z producentem portfeli.
Jednak jego instrukcje dla klientów CryptoBilis pozostają niezmienione, ponieważ słowa odzyskiwania zebrane przed instalacją mogą być już ujawnione.
„Jeśli kupiłeś od CryptoBilis, nadal powinieneś przenieść swoje środki do nowego portfela z nowym ziarnem” — powiedział Trezor.
W odpowiedzi na X firma wyjaśniła, że implant obserwuje komunikację między mikrokontrolerem urządzenia a wyświetlaczem, a następnie zaczyna nagrywać, gdy rozpozna określoną sekwencję. Inżynierowie zmienili kolejność poleceń wysyłanych do ekranu, aby wyzwalacz nie działał.
Wcześniejsze ostrzeżenie dla klientów, opisane przez crypto.news po tym, jak Trezor otrzymał initial implant report, odradzało importowanie starej frazy odzyskiwania do innego portfela sprzętowego lub programowego.
Klientom, którzy nie skonfigurowali urządzenia zakupionego od CryptoBilis, powiedziano, aby go nie konfigurowali ani nie wprowadzali istniejącej kopii zapasowej portfela.
Trzy dotknięte portfele pochodziły z zakupów w sierpniu i wrześniu
Zgodnie z dochodzeniem, wszystkie trzy dotknięte urządzenia Safe 5 zostały kupione między 20 sierpnia a 23 września 2026 r. za pośrednictwem sklepów CryptoBilis na Tokopedia i Shopee lub bezpośrednio od sprzedawcy detalicznego.
Inżynierowie zbadali pierwsze zgłoszone urządzenie w laboratorium Trezora. Pozostałe dwa implanty zidentyfikowano na podstawie zdjęć dostarczonych przez ich właścicieli.
Od październikowego apelu do klientów o kontakt firma usłyszała od 48 nabywców CryptoBilis. Kontrole są przeprowadzane poprzez badania laboratoryjne lub zdjęcia wnętrz urządzeń.
Trezor poinformował, że w żadnym z pozostałych zbadanych urządzeń nie stwierdzono śladów manipulacji. Kontrole portfeli od innych sprzedawców w regionie również nie wykazały żadnych nieprawidłowości, a dochodzenie nie potwierdziło implantu w innym modelu Trezor.
Firma usunęła CryptoBilis z listy autoryzowanych sprzedawców 9 października po doniesieniach o zmanipulowanych portfelach Ledger sprzedawanych przez ten sam podmiot. Pierwsze ostrzeżenie o podejrzanym implancie w Trezorze pojawiło się 30 października.
Ukryte płytki drukowane przechwytywały słowa odzyskiwania z ekranu
Zespół inżynierów ds. systemów wbudowanych Trezora wyodrębnił i przeanalizował oprogramowanie układowe z implantu, który składa się z dodatkowej płytki drukowanej umieszczonej między płytą główną Safe 5 a ekranem.
Firma opisała urządzenie podsłuchujące, które kopiuje informacje wyświetlane na ekranie bez zmiany własnego oprogramowania układowego portfela ani Secure Element.
Rozpoznaje ono słowa odzyskiwania wyświetlane podczas tworzenia kopii zapasowej portfela oraz słowa wprowadzane podczas przywracania istniejącego portfela. Hasła pojawiające się na ekranie mogą zostać przechwycone w ten sam sposób.
Według opisu technicznego przechwycone informacje są szyfrowane i przesyłane przez sieć komórkową do serwera kontrolowanego przez atakującego. Gdy połączenie jest niedostępne, implant przechowuje dane i ponawia próbę później.
Odpowiadając na pytania dotyczące wykrywania manipulacji, Trezor stwierdził, że nie ma oczywistych różnic zewnętrznych. Otwarcie portfela może go uszkodzić, a dobrze wykonany implant może pozostać trudny do zidentyfikowania nawet przy użyciu zdjęć referencyjnych.
Prawo do wymiany zaczyna się od zakupów w marcu
Każdy klient, który kupił Trezora od CryptoBilis od marca 2026 roku, kwalifikuje się do wymiany, co obejmuje okres wykraczający poza daty zakupu trzech zidentyfikowanych urządzeń.
Ograniczenia wysyłki mogą wymagać innego modelu z zwrotem różnicy w cenie, dostawy na adres w innym kraju lub zwrotu pieniędzy. Klienci powinni zachować swoje urządzenia i uzyskać pomoc poprzez Trezor Support.
Firma ostrzegła, że oszuści mogą podszywać się pod personel wsparcia oferujący wymiany lub zwroty. Jej pracownicy nigdy nie poproszą klientów o udostępnienie fraz odzyskiwania.
