Der Hardware-Wallet-Hersteller Trezor hat eine frühzeitige Warnung an Kunden herausgegeben, die Geräte vom Händler CryptoBilis gekauft haben. Demnach sei ein Bericht über ein Hardware-Implantat in einem Trezor Safe 5 glaubwürdig genug, um noch vor Abschluss der Laboruntersuchung zu handeln. Laut Trezors Offenlegung sollten alle, die ab März 2026 einen Trezor bei CryptoBilis gekauft haben, die auf dem Gerät befindlichen Gelder in eine Wallet übertragen, die aus einer neuen Seed-Phrase generiert wurde.

Das Unternehmen sprach am 30. Oktober 2026. Sein Sicherheitsteam erhielt den Bericht am 28. Oktober. Die Meldung behauptet, dass ein Hardware-Implantat in einen Trezor Safe 5 eingebaut war, den der Käufer im August 2026 über den indonesischen Marktplatz Tokopedia bei CryptoBilis erworben hatte. Trezor hat das Gerät noch nicht physisch untersucht, erklärte jedoch, den Kundenbericht, gestützt durch ein Video-Interview, als glaubwürdig zu behandeln. Es entschied sich, die Käufer jetzt zu warnen, statt auf eine Laborbestätigung zu warten. Bislang hat kein CryptoBilis-Kunde Trezor einen Verlust von Geldern gemeldet.

Was der Bericht über das Implantat behauptet

Trezors Offenlegung beschreibt eine zusätzliche Platine, die zwischen der Hauptplatine des Safe 5 und dessen Bildschirm platziert wurde. Die Platine trägt ein Mobilfunkmodul und eine Antenne. Laut Bericht liest das mutmaßliche Implantat alles, was auf dem Bildschirm angezeigt wird, einschließlich des Wallet-Backups, und überträgt diese Daten über ein Mobilfunknetz, sobald das Gerät angeschlossen wird. Bei dem betroffenen Backup handelt es sich um die Seed-Phrase – die beim Einrichten einer Hardware-Wallet generierte Wortfolge, die allein ausreicht, um die Wallet wiederherzustellen und von einem anderen Gerät daraus zu spenden. Wenn die Beschreibung zutrifft, würde ein derartiges Implantat genau das eine Element offenlegen, das die Wallet vollständig kontrolliert.

Trezor sagte, das Setup ähnele Implantaten, die in Ledger-Geräten desselben Händlers gefunden wurden, fügte jedoch hinzu, dass dieser Zusammenhang während der laufenden Untersuchungen nicht bestätigt werde.

Der Bericht wurde über Trezors Programm für verantwortungsvolle Offenlegung von einem Kunden in Indonesien eingereicht. Dieser Kunde hatte die Gelder bereits vom Gerät bewegt, bevor er das Implantat entdeckte. Trezor dankte dem Melder sowie SEAL 911, dem Notfallresponse-Dienst der Security Alliance, die beide bei dem Fall und bei der Unterstützung betroffener Käufer halfen.

Warum alle CryptoBilis-Käufer betroffen sind

CryptoBilis war bis Oktober 2026 ein offizieller Trezor-Händler in Südostasien. Am 9. Oktober begann Ledger mit der Untersuchung von Geldverlusten bei Kunden, die Geräte bei diesem Händler gekauft hatten, und erklärte später, dass einige dieser Geräte physisch manipuliert worden seien. Da CryptoBilis auch Trezor-Produkte verkaufte, beendete Trezor die Partnerschaft mit dem Händler am selben Tag und begann mit der Überprüfung von Kundengeräten.

Der Bericht vom 28. Oktober ist laut Trezor die erste Meldung, die auf ein mögliches Implantat in einem eigenen Gerät aus diesem Vertriebskanal hinweist. Das Unternehmen erklärte, seine Empfehlungen gelten für jedes bei CryptoBilis gekaufte Trezor-Modell, nicht nur für den im Bericht genannten Safe 5. Es liegen keine Meldungen zu anderen Händlern vor.

Der Fall zeigt, wie das Sicherheitsversprechen einer versiegelten Hardware-Wallet weiterhin davon abhängt, wer das Gerät in die Hände genommen hat, bevor es den Käufer erreichte. Zwei Fragen bleiben offen: ob die Laboruntersuchung des gemeldeten Safe 5 den Bericht des Kunden bestätigt, und welche Schlussfolgerungen die laufenden Untersuchungen über die in Ledger-Geräten desselben Vertriebskanals gemeldeten Implantate ziehen.

Was betroffene Käufer tun sollten

Trezor empfahl allen, die ab März 2026 einen Trezor bei CryptoBilis gekauft haben und Gelder auf dem Gerät halten, diese so bald wie möglich in eine neu erstellte Wallet mit neuer Seed zu übertragen. Die Wiederherstellung des alten Backups auf einem anderen Gerät beseitigt das Risiko nicht, da die Seed möglicherweise bereits auf einem manipulierten Gerät offengelegt wurde. Käufer ohne eine zweite sichere Hardware-Wallet können die Gelder vorübergehend in einer Software-Wallet oder auf einer Börse parken, der sie bereits vertrauen, und sollten vor dem Senden die vollständige Empfangsadresse überprüfen.

Das Unternehmen wies Käufer außerdem an, ungeöffnete Geräte aus diesem Kanal nicht einzurichten und niemals bestehende Wallet-Backups auf ihnen einzugeben. Trezor betonte, dass sein Support-Team niemals nach einer Recovery-Phrase fragen wird. Zudem warnte es, dass Betrüger die Nachricht wahrscheinlich für Phishing ausnutzen werden; gefälschte E-Mails, Briefe und Anrufe stellen bereits ein Risiko dar.

Betroffene CryptoBilis-Käufer kommen weiterhin für einen direkt versendeten neuen Trezor oder einen Gutschein für einen Ersatz in Frage. Sie sollten das CryptoBilis-Gerät aufbewahren und den Support kontaktieren.