Trezor kürzt Händlernetzwerk um 80 % nach Auffinden von Hardware-Implantaten in Safe 5 Wallets
Wichtige Erkenntnisse
- •Trezor hat sein autorisiertes Händlernetzwerk um rund 80 % reduziert und nach der Entdeckung der Implantate strengere Anforderungen an Beschaffung, Lagerung und Handhabung eingeführt.
- •Alle drei kompromittierten Safe 5 Wallets stammten von CryptoBilis, einem ehemaligen Händler in Südostasien, und wurden zwischen dem 20. August und dem 23. September 2026 direkt oder über dessen Tokopedia- und Shopee-Shops gekauft.
- •Das Implantat war eine zusätzliche Platine zwischen Hauptplatine und Display, die Bildschirminformationen wie Wiederherstellungsphrasen und Passphrasen erfasste und über ein Mobilfunknetz übertrug, ohne die Firmware oder das Secure Element der Wallet zu verändern.
- •Trezor veröffentlichte am 11. November die Firmware-Version 2.13.1, um die weitere Datenerfassung zu verhindern, und riet betroffenen Kunden, ihre Mittel in neue Wallets mit neu generierten Wiederherstellungsphrasen zu übertragen; bisher wurden keine Verluste gemeldet.
- •Kunden, die seit März 2026 Trezor-Geräte bei CryptoBilis gekauft haben, kommen für einen Ersatz in Frage, und die Ermittler fanden keine Manipulationen bei Geräten anderer Händler oder anderen Trezor-Modellen – die Untersuchungen laufen jedoch weiter.
Der Hardware-Wallet-Hersteller Trezor hat sein autorisiertes Händlernetzwerk um rund 80 % gekürzt, nachdem in drei Safe 5 Krypto-Wallets bösartige Hardware-Implantate entdeckt wurden. Im Zuge der Umstrukturierung veröffentlichte das Unternehmen zudem ein Firmware-Update, das die Implantate an der Erfassung sensibler Wallet-Informationen hindern soll.
In einem am 12. November 2026 veröffentlichten Ermittlungsupdate bestätigte Trezor, dass alle drei kompromittierten Geräte von CryptoBilis stammten, einem ehemaligen Händler in Südostasien. Although no customer has reported losing cryptocurrency, the company continues to recommend moving funds into newly created wallets. Trezor detailed its findings in einem offiziellen Ermittlungsupdate.
Drei kompromittierte Wallets bestätigt
Die Implantate wurden in Safe 5 Geräten gefunden, die zwischen dem 20. August und dem 23. September 2026 entweder direkt bei CryptoBilis oder über deren Shops auf den Marktplätzen Tokopedia und Shopee gekauft wurden. Trezor untersuchte eine kompromittierte Wallet physisch im Labor und identifizierte die beiden übrigen Implantate anhand von Fotos, die Kunden eingereicht hatten.
Nachdem Trezor im Oktober seine erste Warnung herausgegeben hatte, meldeten sich 48 CryptoBilis-Kunden beim Unternehmen. Die Ermittler fanden keine Hinweise auf Manipulationen bei Geräten anderer Händler oder anderen Trezor-Modellen, allerdings dauern die Untersuchungen noch an.
Wie die Implantate Wallet-Daten abgreifen
Die bösartige Komponente ist eine zusätzliche Platine, die zwischen der Hauptplatine des Safe 5 und dessen Display eingebaut ist. Sie erfasst heimlich die auf dem Bildschirm angezeigten Informationen, darunter Wiederherstellungsphrasen und Passphrasen, verschlüsselt dann die gestohlenen Daten und überträgt sie über ein Mobilfunknetz an einen von Angreifern kontrollierten Server. Scheitert die Verbindung, speichert das Implantat die Daten und versucht die Übertragung später erneut.
Eine Wiederherstellungsphrase ist das zentrale Backup einer Hardware-Wallet: Sie kann die Schlüssel der Wallet auf jedem kompatiblen Gerät regenerieren, was bedeutet, dass ihre Erfassung der Kontrolle über die geschützten Mittel gleichkommt – selbst wenn das Gerät selbst nie wieder benutzt wird.
Bemerkenswert ist, dass das Implantat neither die ursprüngliche Firmware noch das Secure Element der Wallet verändert, womit die kernseitigen Sicherheitskomponenten des Geräts unverändert bleiben – ein Detail, das den Angriff besonders besorgniserregend macht, da die Modifikation außerhalb des kryptografischen Kerns operiert, den diese Komponenten schützen, und abgreift, was der Bildschirm anzeigt, statt die internen Abläufe der Wallet zu verändern.
Firmware-Fix und strengere Lieferkettenkontrollen
Trezor veröffentlichte am 11. November die Firmware-Version 2.13.1, um die identifizierten Implantate an der Erfassung weiterer Informationen zu hindern. Da das Update Wiederherstellungsphrasen, die Angreifer möglicherweise bereits erlangt haben, nicht schützen kann, rät das Unternehmen CryptoBilis-Kunden, ihre Kryptowährungen in neue Wallets mit neu generierten Wiederherstellungsphrasen zu übertragen. Die beiden Maßnahmen adressieren unterschiedliche Risiken: Der Firmware-Patch stoppt die weitere Erfassung nach der Installation, während die neue Wallet die Mittel schützt, falls eine Wiederherstellungsphrase bereits offengelegt wurde. Kunden, die seit März 2026 Trezor-Geräte bei CryptoBilis gekauft haben, kommen zudem für einen Ersatz in Frage.
Parallel dazu hat Trezor rund vier Fünftel seines Händlernetzwerks entfernt und strengere Anforderungen an Beschaffung, Lagerung und Handhabung der Geräte eingeführt. Das Unternehmen betonte, dass die entfernten Partner nicht zwangsläufig Sicherheitsrisiken darstellten; die Umstrukturierung zielt darauf ab, den Schutz der Lieferkette zu stärken und künftige Hardware-Manipulationen zu erschweren. Für Käufer ist der Vorfall eine Erinnerung daran, dass die Sicherheit einer Hardware-Wallet nicht nur von ihrer Kryptografie abhängt, sondern auch vom physischen Weg, den ein Gerät vom Werk zum Käufer zurücklegt – ein Weg, der, wenn er über Drittanbieter und Marktplatzshops führt, außerhalb der direkten Kontrolle des Herstellers liegt.
