Trezor ostrzegł klientów, którzy zakupili portfele sprzętowe od byłego sprzedawcy CryptoBilis, aby przenieśli swoje środki po otrzymaniu zgłoszenia o podejrzanym złośliwym implancie wewnątrz urządzenia Trezor Safe 5.
Podsumowanie
- Trezor ostrzegł klientów, którzy zakupili portfele sprzętowe od CryptoBilis od marca 2026 r., aby przenieśli swoje środki po otrzymaniu zgłoszenia o podejrzanym implancie w urządzeniu Safe 5.
- Podejrzany implant rzekomo zawiera dodatkową płytkę drukowaną i moduł komórkowy zdolny do przechwytywania fraz odzyskiwania wyświetlanych na portfelu i przesyłania ich przez sieć komórkową.
- Trezor nie zbadał jeszcze fizycznie zgłoszonego urządzenia, ale stwierdził, że informacje dostarczone przez klienta były wystarczająco wiarygodne, aby wydać ostrzeżenie. Do firmy nie zgłoszono żadnych strat klientów.
- CryptoBilis został usunięty z listy autoryzowanych sprzedawców Trezor 9 października po tym, jak Ledger potwierdził, że niektóre portfele sprzętowe sprzedawane przez tego samego sprzedawcę zostały fizycznie zmodyfikowane.
- Trezor zalecił dotkniętym klientom utworzenie nowych portfeli z nowymi frazami odzyskiwania i oferuje urządzenia zastępcze lub vouchery uprawnionym nabywcom.
Zgodnie z ogłoszeniem z 30 października firma otrzymała ujawnienie bezpieczeństwa 28 października dotyczące portfela zakupionego przez CryptoBilis na Tokopedia w sierpniu 2026 r.
Urządzenie zostało kupione przez klienta w Indonezji, który zgłosił znalezienie dodatkowej płytki drukowanej wewnątrz portfela, która potencjalnie mogła ujawnić poufne informacje, w tym frazę odzyskiwania używaną do uzyskania dostępu do zasobów kryptowalutowych.
Trezor poinformował, że przeanalizował zdjęcia i przeprowadził wywiad z klientem poprzez rozmowę wideo, ale nie zbadał jeszcze fizycznie urządzenia. Firma uznaje zgłoszenie za wiarygodne i zaleciła klientom, którzy zakupili jakikolwiek model Trezor od CryptoBilis od marca 2026 r., podjęcie środków ostrożności.
Według firmy żaden klient, który kupił urządzenia Trezor przez sprzedawcę, nie zgłosił utraty środków.
Implant w Trezor Safe 5 mógł przesyłać frazy odzyskiwania portfela
Podejrzany implant rzekomo składa się z dodatkowej płytki drukowanej umieszczonej między główną płytą portfela a jego ekranem. Zawiera moduł komórkowy i antenę, które mogłyby umożliwić przesyłanie informacji wyświetlanych na urządzeniu przez sieć komórkową.
Na podstawie opisu klienta dodatkowy sprzęt wydaje się zdolny do odczytywania ekranu, w tym frazy odzyskiwania generowanej podczas konfiguracji portfela, i przesyłania tych informacji za każdym razem, gdy urządzenie jest podłączone do zasilania.
Każdy, kto uzyska frazę odzyskiwania portfela, mógłby potencjalnie przywrócić go na innym urządzeniu i przenieść jego środki bez potrzeby posiadania oryginalnego sprzętu.
Klient, który odkrył podejrzany implant, zdążył już przenieść swoje kryptowaluty z urządzenia przed zidentyfikowaniem dodatkowego sprzętu.
Trezor poinformował, że jego zespół ds. bezpieczeństwa organizuje odbiór portfela do badania laboratoryjnego. Śledczy nie zidentyfikowali, kto zainstalował podejrzany implant, ani nie ustalili, czy ci sami napastnicy byli odpowiedzialni za wcześniejszy incydent z Ledger.
CryptoBilis wcześniej powiązany ze zmodyfikowanymi portfelami Ledger
Ostrzeżenie następuje po dochodzeniu dotyczącym urządzeń Ledger sprzedawanych przez CryptoBilis, który wcześniej działał jako autoryzowany sprzedawca dla obu producentów portfeli sprzętowych w Azji Południowo-Wschodniej.
9 października Ledger rozpoczął dochodzenie w sprawie zgłoszeń o stratach kryptowalut wśród klientów, którzy zakupili jego portfele przez sprzedawcę.
Jak wcześniej informował crypto.news, Ledger następnie potwierdził, że nieautoryzowany komponent wewnątrz dotkniętego urządzenia mógł przechwytywać frazy odzyskiwania wyświetlane podczas konfiguracji i przesyłać je przez połączenie komórkowe LTE.
Ukryty implant sprzętowy działał niezależnie od chipu bezpieczeństwa urządzenia, pozostawiając jego normalny system operacyjny i funkcje podpisywania transakcji bez zmian.
Trezor zareagował na wstępne zgłoszenia, usuwając CryptoBilis ze swojej sieci autoryzowanych sprzedawców 9 października i prosząc klientów o przesłanie swoich urządzeń do inspekcji.
Do 19 października firma otrzymała cztery portfele zakupione przez CryptoBilis, w tym dwa urządzenia Trezor Safe 5, jedno Safe 7 i jedno Safe 3. Żadne z nich nie wykazywało oznak fizycznej ingerencji podczas inspekcji.
Podejrzewany implant ujawniony 28 października dotyczy osobnego urządzenia Safe 5, które nie zostało objęte tymi badaniami.
Śledztwo dotyczące urządzeń Ledger było kontynuowane. 29 października firma analityki blockchain Arkham Intelligence prześledziła 95,35 mln dolarów w podejrzewanych kradzieżach obejmujących 1486 adresów w okresie od 7 do 9 października.
Arkham poinformowała, że zamrożono około 10 mln dolarów w USDT, podczas gdy atakujący nadal przenosił skradzione kryptowaluty przez wiele sieci blockchain.
Osobno policja singapurska zgłosiła straty w wysokości 3,5 mln dolarów singapurskich w kryptowalutach w dwóch sprawach dotyczących zmanipulowanych urządzeń Ledger zakupionych u lokalnych sprzedawców detalicznych.
Trezor od tego czasu ograniczył swoją sieć autoryzowanych sprzedawców i współpracuje z Ledger oraz innymi stronami badającymi zgłoszone ataki.
Trezor zaleca klientom CryptoBilis utworzenie nowych portfeli
Klientom, którzy zakupili urządzenia Trezor u CryptoBilis od marca 2026 roku, zalecono przeniesienie swoich kryptowalut do nowo utworzonego portfela z całkowicie nową frazą odzyskiwania.
Firma ostrzegła, że importowanie istniejącej frazy odzyskiwania do innego portfela sprzętowego lub programowego nie usunie ryzyka, jeśli fraza ta została już ujawniona.
Użytkownicy niemający innego bezpiecznego portfela sprzętowego mogą tymczasowo przenieść swoje środki do znanego portfela programowego lub giełdy kryptowalut. Trezor zalecił klientom dokładne sprawdzenie adresów odbiorczych przed dokonaniem przelewów.
Każdy, kto zakupił urządzenie, ale jeszcze go nie skonfigurował, powinien unikać jego konfigurowania lub wprowadzania istniejącej frazy odzyskiwania.
Ostrzeżenie obejmuje każdy model Trezor dostarczony przez CryptoBilis, w tym urządzenia sprzedawane przez Tokopedia i inne sklepy, które nabyły swoje zapasy od tego sprzedawcy.
Trezor oświadczył, że klienci nie powinni próbować identyfikować ingerencji poprzez otwieranie lub ważenie swoich portfeli. Chociaż klient, który zgłosił implant, zauważył różnicę w wadze, firma stwierdziła, że pomiary wagi nie mogą wiarygodnie ustalić, czy urządzenie zostało zmodyfikowane.
Klienci, którzy kupili urządzenia u CryptoBilis w określonym okresie, kwalifikują się do wymiany portfela wysłanego bezpośrednio przez Trezor lub vouchera pokrywającego koszt nowego urządzenia.
Trezor ostrzegł, że oszuści mogą wykorzystać ten incydent poprzez fałszywe e-maile, listy i rozmowy telefoniczne. Przypomniano klientom, aby nigdy nie ujawniali swoich fraz odzyskiwania, w tym nikomu podającemu się za członka zespołu wsparcia firmy.
Śledztwo jest prowadzone przy pomocy SEAL 911, służby reagowania kryzysowego Security Alliance, która doradzała Trezorowi w zakresie reakcji na dotkniętych klientów.
