Trezor скоротив свою мережу реселерів приблизно на 80% і випустив оновлення прошивки після виявлення апаратних імплантів у трьох гаманцях Safe 5, придбаних у колишнього реселера CryptoBilis.
Резюме
- Згідно з розслідуванням Trezor, три гаманці Safe 5, придбані в CryptoBilis, містили імпланти.
- Прошивка версії 2.13.1 блокує виявлені імпланти, але раніше перехоплені фрази відновлення залишаються скомпрометованими.
- Покупці з березня 2026 року і пізніше все ще мають право на заміну і повинні перевести кошти на нові гаманці.
- Жоден клієнт не повідомив про втрату коштів, і жодних імплантів не підтверджено за межами CryptoBilis.
Оновлення розслідування Trezor від 12 листопада повідомило, що клієнтам все ще слід перевести свою криптовалюту на новий гаманець із новою сід-фразою, навіть після встановлення захисту, випущеного днем раніше.
Компанія заявила, що вилучені реселери були надійними і не становили негайної загрози. Вони не відповідали суворішим вимогам до обробки, які запроваджуються для решти її партнерів і охоплюють те, як пристрої постачаються, зберігаються та до них отримують доступ.
Прошивка Trezor блокує імпланти, але не може захистити скомпрометовані сід-фрази
За словами виробника гаманців, прошивка версії 2.13.1, випущена 11 листопада, запобігає перехопленню інформації імплантами, виявленими під час розслідування, на пристроях, що працюють з оновленням.
Однак його інструкції для клієнтів CryptoBilis залишаються незмінними, оскільки слова відновлення, зібрані до встановлення, могли вже бути скомпрометовані.
«Якщо ви купували в CryptoBilis, вам все ще слід перевести свої кошти на новий гаманець із новою сід-фразою», — заявила Trezor.
У відповіді на X компанія пояснила, що імплант відстежує зв'язок між мікроконтролером пристрою та дисплеєм, а потім починає запис, коли розпізнає певну послідовність. Інженери змінили порядок команд, що надсилаються на екран, щоб тригер більше не спрацьовував.
Попереднє попередження для клієнтів, про яке повідомляв crypto.news після того, як Trezor отримав початковий звіт про імплант, радило не імпортувати стару фразу відновлення в інший апаратний чи програмний гаманець.
Клієнтам, які не налаштували пристрій, придбаний у CryptoBilis, було сказано не налаштовувати його і не вводити резервну копію існуючого гаманця.
Три постраждалі гаманці були придбані в серпні та вересні
Згідно з розслідуванням, усі три постраждалі пристрої Safe 5 були придбані між 20 серпня та 23 вересня 2026 року через магазини CryptoBilis на Tokopedia та Shopee або безпосередньо в реселера.
Інженери дослідили перший повідомлений пристрій у лабораторії Trezor. Два інші імпланти були ідентифіковані за фотографіями, наданими їхніми власниками.
Після жовтневого заклику до клієнтів зв'язатися компанія отримала звернення від 48 покупців CryptoBilis. Перевірки проводяться шляхом лабораторних досліджень або фотографій внутрішніх компонентів пристроїв.
Trezor заявила, що жоден інший перевірений пристрій не показав ознак втручання. Перевірка гаманців від інших реселерів у регіоні також не виявила жодного, і розслідування не підтвердило наявність імпланта в іншій моделі Trezor.
Компанія позбавила CryptoBilis статусу авторизованого реселера 9 жовтня після повідомлень про підроблені гаманці Ledger, продані через той самий бізнес. Її перше попередження про підозрюваний імплант Trezor з'явилося 30 жовтня.
Приховані плати зчитували слова відновлення з екрана
Команда вбудованої інженерії Trezor витягла та проаналізувала прошивку з імпланта, який складається з додаткової плати, розміщеної між основною платою Safe 5 та екраном.
Компанія описала підслуховувальний пристрій, який копіює інформацію, відображену на екрані, не змінюючи власну прошивку гаманця чи Secure Element.
Він розпізнає слова відновлення, показані під час створення резервної копії гаманця, та слова, введені під час відновлення наявного гаманця. Парольні фрази, що з'являються на екрані, можуть бути захоплені таким самим чином.
Згідно з технічним звітом, захоплена інформація шифрується та передається через мобільну мережу на сервер, контрольований зловмисником. Коли з'єднання недоступне, імплант зберігає дані та повторює спробу пізніше.
Відповідаючи на запитання про виявлення втручання, Trezor заявила, що очевидних зовнішніх відмінностей не було. Відкриття гаманця може пошкодити його, а якісно виготовлений імплант може залишатися важким для виявлення навіть за наявності еталонних фотографій.
Право на заміну починається з покупок у березні
Будь-який клієнт, який придбав Trezor у CryptoBilis з березня 2026 року, має право на заміну — період, що виходить за межі дат покупки трьох ідентифікованих пристроїв.
Обмеження щодо доставки можуть вимагати іншої моделі з поверненням різниці в ціні, доставки на адресу в іншій країні або повернення коштів. Клієнтам слід зберегти свої пристрої та звернутися по допомогу через службу підтримки Trezor.
Компанія попередила, що шахраї можуть видавати себе за співробітників підтримки, пропонуючи заміну або повернення коштів. Її співробітники ніколи не проситимуть клієнтів ділитися своїми фразами відновлення.
