Trezor сократила свою сеть реселлеров примерно на 80% и выпустила обновление прошивки после обнаружения аппаратных имплантов в трех кошельках Safe 5, приобретенных у бывшего реселлера CryptoBilis.
Краткое содержание
- Согласно расследованию Trezor, три кошелька Safe 5, купленные у CryptoBilis, содержали импланты.
- Прошивка версии 2.13.1 блокирует выявленные импланты, но ранее перехваченные фразы восстановления остаются скомпрометированными.
- Покупатели с марта 2026 года по-прежнему имеют право на замену и должны перевести средства на новые кошельки.
- Ни один клиент не сообщил о потере средств, и за пределами CryptoBilis импланты не подтверждены.
Обновление расследования Trezor от 12 ноября сообщает, что клиентам все равно следует перевести свою криптовалюту на новый кошелек с новой seed-фразой, даже после установки защиты, выпущенной днем ранее.
Компания заявила, что удаленные реселлеры были надежными и не представляли непосредственной угрозы. Они не соответствовали более строгим требованиям к обращению, которые вводятся для остальных ее партнеров и касаются того, как устройства закупаются, хранятся и к ним предоставляется доступ.
Прошивка Trezor блокирует импланты, но не может защитить скомпрометированные seed-фразы
По словам производителя кошельков, выпущенная 11 ноября прошивка версии 2.13.1 не позволяет выявленным в ходе расследования имплантам собирать информацию на устройствах с этим обновлением.
Однако его инструкции для клиентов CryptoBilis остаются неизменными, поскольку слова восстановления, собранные до установки, могли быть уже скомпрометированы.
«Если вы покупали у CryptoBilis, вам все равно следует перевести свои средства на новый кошелек с новой seed-фразой», — заявила Trezor.
В ответе в X компания объяснила, что имплант отслеживает связь между микроконтроллером устройства и дисплеем, а затем начинает запись, когда распознает определенную последовательность. Инженеры изменили порядок команд, отправляемых на экран, так что триггер больше не срабатывает.
Более раннее предупреждение для клиентов, освещенное crypto.news после того, как Trezor получила первоначальный отчет об импланте, рекомендовало не импортировать старую фразу восстановления в другой аппаратный или программный кошелек.
Клиентам, которые не настроили устройство, купленное у CryptoBilis, было сказано не настраивать его и не вводить существующую резервную копию кошелька.
Три затронутых кошелька были приобретены в августе и сентябре
Согласно расследованию, все три затронутых устройства Safe 5 были куплены в период с 20 августа по 23 сентября 2026 года через магазины CryptoBilis на Tokopedia и Shopee или напрямую у реселлера.
Инженеры исследовали первое заявленное устройство в лаборатории Trezor. Два других импланта были выявлены по фотографиям, предоставленным их владельцами.
С момента октябрьского обращения к клиентам с просьбой связаться компания получила сообщения от 48 покупателей CryptoBilis. Проверки проводятся посредством лабораторных экспертиз или фотографий внутренних компонентов устройств.
Trezor заявила, что все остальные проверенные устройства не показали признаков вмешательства. Проверка кошельков от других реселлеров в регионе также не выявила ни одного случая, и расследование не подтвердило наличие имплантата в другой модели Trezor.
Компания лишила CryptoBilis статуса авторизованного реселлера 9 октября после сообщений о подделанных кошельках Ledger, проданных через тот же бизнес. Первое предупреждение о подозреваемом имплантате Trezor последовало 30 октября.
Скрытые печатные платы считывали слова восстановления с экрана
Команда встроенных инженеров Trezor извлекла и проанализировала прошивку из имплантата, который состоит из дополнительной печатной платы, размещённой между основной платой Safe 5 и экраном.
Компания описала подслушивающее устройство, которое копирует информацию, отображаемую на экране, не изменяя собственную прошивку кошелька или Secure Element.
Оно распознаёт слова восстановления, отображаемые при создании резервной копии кошелька, и слова, вводимые при восстановлении существующего кошелька. Парольные фразы, появляющиеся на экране, могут быть перехвачены таким же образом.
Согласно техническому отчёту, перехваченная информация шифруется и передаётся по мобильной сети на сервер, контролируемый злоумышленником. При отсутствии соединения имплантат сохраняет данные и повторяет попытку позже.
Отвечая на вопросы о том, как обнаружить вмешательство, Trezor заявила, что очевидных внешних отличий нет. Вскрытие кошелька может повредить его, а качественно изготовленный имплантат может оставаться трудноразличимым даже при наличии эталонных фотографий.
Право на замену начинается с покупок в марте
Любой клиент, купивший Trezor у CryptoBilis с марта 2026 года, имеет право на замену — этот период выходит за рамки дат покупки трёх выявленных устройств.
Ограничения по доставке могут потребовать другой модели с возвратом разницы в цене, доставки на адрес в другой стране или возврата средств. Клиентам следует сохранить свои устройства и организовать помощь через службу поддержки Trezor.
Компания предупредила, что мошенники могут выдавать себя за сотрудников поддержки, предлагающих замену или возврат средств. Её сотрудники никогда не будут просить клиентов сообщить свои фразы восстановления.
