A Trezor reduziu sua rede de revendedores em cerca de 80% e lançou uma atualização de firmware após encontrar implantes de hardware em três carteiras Safe 5 compradas do ex-revendedor CryptoBilis.
Resumo
- Três carteiras Safe 5 compradas da CryptoBilis continham implantes, de acordo com a investigação da Trezor.
- A versão de firmware 2.13.1 bloqueia os implantes identificados, mas as frases de recuperação capturadas anteriormente permanecem expostas.
- Compradores a partir de março de 2026 continuam elegíveis para substituições e devem mover os fundos para novas carteiras.
- Nenhum cliente relatou perda de fundos, e nenhum implante foi confirmado fora da CryptoBilis.
A atualização da investigação da Trezor de 12 de novembro disse que os clientes ainda devem mover sua criptomoeda para uma carteira recém-criada com uma nova seed, mesmo após instalar a proteção lançada um dia antes.
A empresa disse que os revendedores removidos eram confiáveis e não representavam ameaça imediata. Eles não atendiam aos requisitos mais rigorosos de manuseio que estão sendo introduzidos em seus parceiros restantes, abrangendo como os dispositivos são obtidos, armazenados e acessados.
Firmware da Trezor bloqueia implantes, mas não pode proteger seeds expostas
Lançada em 11 de novembro, a versão de firmware 2.13.1 impede que os implantes identificados durante a investigação capturem informações em dispositivos que executam a atualização, de acordo com a fabricante da carteira.
No entanto, suas instruções para clientes da CryptoBilis permanecem inalteradas porque as palavras de recuperação coletadas antes da instalação já podem estar expostas.
“Se você comprou da CryptoBilis, ainda deve mover seus fundos para uma nova carteira com uma nova seed”, disse a Trezor.
Em uma resposta no X, a empresa explicou que o implante monitora a comunicação entre o microcontrolador e o display do dispositivo, e então começa a gravar quando reconhece uma sequência específica. Os engenheiros alteraram a ordem dos comandos enviados à tela para que o gatilho não funcione mais.
O aviso anterior aos clientes, coberto pelo crypto.news depois que a Trezor recebeu o relatório inicial do implante, aconselhava contra importar a antiga frase de recuperação para outra carteira de hardware ou software.
Clientes que não configuraram um dispositivo comprado da CryptoBilis foram instruídos a não configurá-lo nem inserir um backup de carteira existente.
Três carteiras afetadas vieram de compras em agosto e setembro
De acordo com a investigação, todos os três dispositivos Safe 5 afetados foram comprados entre 20 de agosto e 23 de setembro de 2026, por meio das lojas Tokopedia e Shopee da CryptoBilis ou diretamente do revendedor.
Os engenheiros examinaram o primeiro dispositivo relatado no laboratório da Trezor. Os outros dois implantes foram identificados a partir de fotografias fornecidas por seus proprietários.
Desde seu apelo de outubro para que os clientes entrassem em contato, a empresa recebeu notícias de 48 compradores da CryptoBilis. As verificações estão sendo realizadas por meio de exames laboratoriais ou fotografias do interior dos dispositivos.
A Trezor afirmou que todos os outros dispositivos examinados não mostraram evidências de adulteração. Inspeções de carteiras de outros revendedores da região também não encontraram nenhuma, e a investigação não confirmou um implante em outro modelo da Trezor.
A empresa removeu a CryptoBilis como revendedor autorizado em 9 de outubro, após relatos de carteiras Ledger adulteradas vendidas pelo mesmo negócio. Seu primeiro alerta sobre um suspeito implante em uma Trezor veio em 30 de outubro.
Placas de circuito ocultas capturavam palavras de recuperação da tela
A equipe de engenharia embarcada da Trezor extraiu e analisou o firmware do implante, que consiste em uma placa de circuito extra colocada entre a placa principal do Safe 5 e a tela.
A empresa descreveu um dispositivo de escuta que copia as informações exibidas na tela sem alterar o firmware da própria carteira nem o Secure Element.
Ele reconhece as palavras de recuperação exibidas durante a criação de um backup de carteira, e as palavras inseridas ao restaurar uma carteira existente. As passphrases que aparecem na tela podem ser capturadas da mesma forma.
De acordo com o relato técnico, as informações capturadas são criptografadas e transmitidas por uma rede móvel para um servidor controlado pelo atacante. Quando uma conexão não está disponível, o implante armazena os dados e tenta novamente mais tarde.
Respondendo a perguntas sobre como identificar adulterações, a Trezor disse que não havia diferenças externas óbvias. Abrir uma carteira pode danificá-la, e um implante bem feito pode permanecer difícil de identificar mesmo com fotografias de referência.
Elegibilidade para substituição começa com compras de março
Qualquer cliente que comprou uma Trezor da CryptoBilis a partir de março de 2026 tem direito a uma substituição, um período que se estende além das datas de compra dos três dispositivos identificados.
Restrições de envio podem exigir um modelo diferente com a diferença de preço reembolsada, entrega em um endereço em outro país, ou um reembolso. Os clientes devem manter seus dispositivos e organizar assistência por meio do Suporte da Trezor.
A empresa alertou que golpistas podem se passar por membros da equipe de suporte oferecendo substituições ou reembolsos. Sua equipe nunca pedirá aos clientes que compartilhem suas frases de recuperação.
