Der Hardware-Wallet-Hersteller Trezor hat Kunden, die seine Geräte über den Wiederverkäufer CryptoBilis gekauft haben, geraten, ihre Gelder umzuziehen, nachdem ein Käufer die Entdeckung eines Hardware-Implantats in einem Trezor Safe 5 gemeldet hatte, wie das Unternehmen am Freitag mitteilte.

Trezor erklärte, es habe einen glaubwürdigen Bericht über ein Implantat in einem im August 2026 über CryptoBilis gekauften Safe 5 erhalten, das Gerät jedoch noch nicht untersucht. Das Implantat liest dem Bericht zufolge das Wallet-Backup vom Bildschirm ab und überträgt es über ein Mobilfunknetz – ein Verhalten, das dem Unternehmen zufolge dem Fall von Ledger ähnlich erscheint.

Ein Kunde in Indonesien meldete das Implantat am 28. Oktober über das Responsible-Disclosure-Programm von Trezor, wie ein Blogbeitrag des Unternehmens mitteilt. Der Safe 5 war im August 2026 über die indonesische E-Commerce-Plattform Tokopedia bei CryptoBilis gekauft worden.

In einem Beitrag auf X erklärte Trezor:

CryptoBilis update We've been made aware, through responsible disclosure, of a single hardware implant in a Trezor Safe 5 device bought from the reseller CryptoBilis in August 2026. No CryptoBilis buyer has reported a loss of funds to us. IMPORTANT: If you bought a Trezor from… pic.twitter.com/TiaKfHBnX2

— Trezor (@Trezor) October 30, 2026

Der Bericht beschreibt eine zusätzliche Platine, die zwischen Hauptplatine und Bildschirm des Geräts eingebaut ist und über ein Mobilfunkmodul sowie eine Antenne verfügt. Laut dem Bericht, den Trezor zufolge nicht verifiziert hat, liest die Platine alles, was auf dem Bildschirm erscheint – einschließlich des Wallet-Backups – und überträgt es über ein Mobilfunknetz, sobald das Gerät angeschlossen wird.

Manipulationen, die nach dem Verlassen des Werks und vor dem Erreichen des Käufers vorgenommen werden, werden üblicherweise als Supply-Chain-Angriff bezeichnet – ein eigenständiges Bedrohungsszenario für Hardware-Wallets, deren Sicherheit davon abhängt, dass das Gerät unangetastet ankommt. Ein derartiges Implantat müsste keine Kryptographie überwinden; es müsste nur erfassen, was das Gerät selbst anzeigt.

Trezor hat das Gerät noch nicht erhalten, sagte jedoch, es behandle den Bericht auf Grundlage der Schilderung des Kunden und eines Video-Interviews als glaubwürdig. „Was wir gesehen haben, erscheint ausreichend ausgeklügelt, sodass wir uns entschieden haben, die Kunden jetzt zu warnen“, erklärte das Unternehmen. „Zu warten auf eine laborbestätigung würde CryptoBilis-Käufer in der Zwischenzeit ungeschützt lassen.“

Kein CryptoBilis-Käufer hat bei Trezor einen Verlust von Geldern gemeldet, so das Unternehmen.

Hardware-Wallets speichern die privaten Schlüssel eines Nutzers offline, während die Wiederherstellungsphrase – eine beim Einrichten des Geräts erzeugte Wortfolge – den Zugriff auf Gelder auf einem neuen Gerät wiederherstellen kann. Die Phrase ist das sensibelste Element des Setups: Wer sie erhält, kann die Wallet auf einem eigenen Gerät nachbilden und über die Gelder verfügen, und diese Offenlegung lässt sich nicht mehr rückgängig machen, sobald die Worte gesehen wurden.

Trezor forderte alle auf, die eine seiner Wallets ab März 2026 bei CryptoBilis gekauft haben, ihre Gelder so bald wie möglich in eine neu erstellte Wallet mit einer neuen Wiederherstellungsphrase zu übertragen und die alte Phrase auf keinem Gerät wiederzuverwenden. Käufer, die ihr Gerät noch nicht eingerichtet haben, sollten es nicht verwenden. Betroffene Kunden können ihr CryptoBilis-Gerät behalten und sich über den Trezor-Support für einen Ersatz melden.

Der CryptoBilis-Vorfall

Trezor entfernte CryptoBilis am 9. Oktober als Wiederverkäufer, nachdem der Konkurrent und Hardware-Wallet-Hersteller Ledger mit der Untersuchung von Verlusten bei Kunden begonnen hatte, die seine Geräte über den südostasiatischen Wiederverkäufer gekauft hatten. Trezor hat seitdem vier seiner bei CryptoBilis gekauften Geräte geprüft – einen Safe 7, zwei Safe 5 und einen Safe 3 – und keine Anzeichen von Manipulationen festgestellt.

Das Sicherheitsteam Donjon von Ledger fand in über CryptoBilis verkauften Ledger-Geräten ein Implantat, das beim Einrichten die 24 Wörter umfassende Wiederherstellungsphrase vom Bildschirm abliest und über LTE überträgt. Im Blogbeitrag von Trezor heißt es, das neu gemeldete Implantat „scheine ähnlich zu funktionieren“, wobei das Unternehmen ergänzte, es werde keine Vergleiche anstellen, solange die Untersuchungen laufen, und wisse nicht, wer dahintersteckt.

Ledger hat mitgeteilt, dass alle bestätigten Verluste Geräte betreffen, die bei CryptoBilis gekauft wurden, und Wiederverkäufer in sieben asiatischen Märkten gebeten, seine Geräte aus dem Verkauf zu nehmen. Eines der größten Opfer war ein Betrüger, der mehr als 60 BTC im Wert von rund 4,8 Millionen US-Dollar verlor, wie das Blockchain-Analyseunternehmen Chainalysis mitteilte.

Wie es weitergeht, hängt von den physischen Beweisen ab: Sobald das Gerät eintrifft, wird die Laboruntersuchung von Trezor die erste direkte Überprüfung der Schilderung des Kunden liefern, und die Untersuchungen beider Hersteller laufen noch. Trezors Warnung reicht bis März 2026 zurück – Monate bevor das gemeldete Gerät gekauft wurde –, sodass der gesamte Umfang der betroffenen Käufer weiterhin unklar ist.

Auch früher musste Trezor Kunden über das Versagen von Partnern warnen. Im August teilte das Unternehmen mit, dass ein Vorfall beim Versanddienstleister ShipMonk die Namen, Telefonnummern und Wohnadressen von fast 14.000 US-Kunden offengelegt hatte – eine Zahl, die im September um weitere 67.000 anwuchs.