Il produttore di hardware wallet Trezor esorta i clienti che hanno acquistato i propri dispositivi dall'ex rivenditore autorizzato CryptoBilis da marzo a spostare i fondi, a seguito della segnalazione di un sospetto implant in un Trezor Safe 5.

Trezor ha reso nota la segnalazione venerdì in un post ufficiale sul blog, e l'avviso è stato condiviso anche su X. Secondo la comunicazione, un cliente in Indonesia ha trovato una scheda elettronica non autorizzata all'interno di un Safe 5 acquistato ad agosto sul marketplace Tokopedia. Il sospetto implant avrebbe potuto acquisire le informazioni mostrate sullo schermo del dispositivo — comprese le frasi di recupero del wallet — e trasmetterle tramite una rete cellulare. Gli hardware wallet sono progettati per mantenere le frasi di recupero offline, ed è per questo che un dispositivo sospettato di divulgare ciò che mostra colpisce il cuore stesso del modello di sicurezza del prodotto.

Trezor ha dichiarato di non aver ancora esaminato il dispositivo e di non aver ricevuto segnalazioni di perdite correlate.

"Non abbiamo ancora avuto il dispositivo nel nostro laboratorio, ma stiamo trattando la segnalazione come credibile, e preferiamo avvertire le persone ora piuttosto che attendere la conferma e scoprire che nel frattempo qualcuno ha perso i propri fondi", ha dichiarato a Cointelegraph il chief commercial officer di Trezor Danny Sanders.

Un portavoce dell'azienda ha descritto le vendite tramite CryptoBilis come "molto piccole", ma ha rifiutato di fornire cifre. Il portavoce ha aggiunto che Trezor non ha stabilito dove si sia verificata la sospetta manomissione e sta rivedendo le proprie protezioni hardware, riconoscendo che le salvaguardie esistenti — compresi sigilli e confezionamento — non sono da sole sufficienti. In pratica, spostare i fondi implica generare un nuovo wallet con una frase di recupero fresca su un dispositivo ottenuto tramite un canale affidabile, ritirando qualsiasi frase che possa essere stata mostrata sul dispositivo sospetto.

Manomissioni Ledger e avvisi precedenti a Trezor

L'avviso segue le segnalazioni di perdite di criptovalute coinvolgenti wallet Ledger venduti tramite CryptoBilis emerse il 9 ottobre. Ledger ha confermato la presenza di un implant hardware non autorizzato in uno dei dispositivi.

Il ricercatore di sicurezza Joe Grand aveva precedentemente dichiarato a Cointelegraph di aver avvertito Trezor ad agosto riguardo a wallet Trezor One e Model T manomessi acquistati tramite venditori non autorizzati su TikTok e Facebook. Trezor ha precisato che la sua precedente affermazione di nessuna evidenza di dispositivi compromessi si applicava solo ai nuovi wallet venduti tramite rivenditori autorizzati, aggiungendo che i suoi controlli di configurazione erano mirati a dispositivi contraffatti e firmware modificati — mentre l'implant trovato in un Ledger venduto da CryptoBilis leggeva lo schermo senza modificare il firmware.

Una frase di recupero rubata può consentire a un attaccante di ripristinare un wallet su un altro dispositivo e spostarne i fondi.

Trezor ha annunciato piani per ridurre la propria rete di rivenditori il 13 ottobre.

Related: Wallet Ledger manomessi costano agli utenti di Singapore 2,7 milioni di dollari, dice la polizia

Fonte: Cointelegraph