Il produttore di hardware wallet Trezor ha ridotto di circa l'80% la propria rete di rivenditori autorizzati dopo la scoperta di impianti hardware malevoli in tre wallet crittografici Safe 5. Accanto alla riorganizzazione, l'azienda ha rilasciato un aggiornamento firmware destinato a impedire agli impianti di acquisire informazioni sensibili del wallet.

In un aggiornamento sull'indagine pubblicato il 12 novembre 2026, Trezor ha confermato che tutti e tre i dispositivi compromessi provenivano da CryptoBilis, un ex rivenditore del Sud-est asiatico. Sebbene nessun cliente abbia segnalato perdite di criptovalute, l'azienda continua a raccomandare di trasferire i fondi su wallet appena creati. Trezor ha dettagliato i risultati dell'indagine in un aggiornamento ufficiale dell'indagine.

Tre wallet compromessi confermati

Gli impianti sono stati trovati in unità Safe 5 acquistate tra il 20 agosto e il 23 settembre 2026, direttamente da CryptoBilis o attraverso i suoi negozi sui marketplace Tokopedia e Shopee. Trezor ha esaminato fisicamente un wallet compromesso nel proprio laboratorio e ha identificato i due impianti rimanenti grazie a fotografie inviate dai clienti.

Dopo l'avviso iniziale emesso da Trezor a ottobre, 48 clienti di CryptoBilis hanno contattato l'azienda per assistenza. Gli investigatori non hanno trovato prove di manomissione nei dispositivi acquistati da altri rivenditori o in altri modelli Trezor, anche se l'indagine è ancora in corso.

Come gli impianti sottraggono i dati del wallet

Il componente malevolo è una scheda a circuito aggiuntiva installata tra la scheda principale del Safe 5 e il suo display. Intercetta di nascosto le informazioni mostrate sullo schermo, tra cui le frasi di recupero del wallet e le passphrase, poi crittografa i dati rubati e li trasmette tramite una rete mobile a un server controllato dagli aggressori. In caso di assenza di connettività, l'impianto memorizza i dati e tenta la trasmissione in un secondo momento.

La frase di recupero è il backup principale di un hardware wallet: permette di rigenerare le chiavi del wallet su qualsiasi dispositivo compatibile, il che significa che intercettarla equivale a ottenere il controllo dei fondi che protegge, anche se il dispositivo stesso non viene più mai utilizzato.

In modo significativo, l'impianto non modifica il firmware originale del wallet né il Secure Element: i componenti di sicurezza fondamentali del dispositivo restano invariati. Si tratta di un dettaglio che rende l'attacco particolarmente preoccupante, poiché la modifica opera al di fuori del nucleo crittografico protetto da questi componenti, raccogliendo ciò che viene visualizzato sullo schermo invece di alterare le operazioni interne del wallet.

Correzione firmware e controlli più rigorosi sulla supply chain

Trezor ha rilasciato il firmware versione 2.13.1 l'11 novembre per impedire agli impianti identificati di acquisire ulteriori informazioni. Poiché l'aggiornamento non può proteggere le frasi di recupero che gli aggressori potrebbero già aver ottenuto, l'azienda consiglia ai clienti di CryptoBilis di trasferire le proprie criptovalute su nuovi wallet con frasi di recupero appena generate. Le due misure affrontano rischi diversi: la patch firmware blocca ulteriori intercettazioni una volta installata, mentre il nuovo wallet protegge i fondi nel caso in cui una frase di recupero sia già stata esposta. I clienti che hanno acquistato dispositivi Trezor da CryptoBilis a partire da marzo 2026 hanno inoltre diritto alla sostituzione.

In parallelo, Trezor ha rimosso circa quattro quinti della propria rete di rivenditori e ha introdotto requisiti più rigorosi per l'approvvigionamento, lo stoccaggio e la gestione dei dispositivi. L'azienda ha sottolineato che i partner eliminati non rappresentavano necessariamente una minaccia per la sicurezza; la riorganizzazione è volta a rafforzare la protezione della supply chain e a ridurre le occasioni di future manomissioni hardware. Per gli acquirenti, l'episodio ricorda che la sicurezza di un hardware wallet dipende non solo dalla sua crittografia, ma anche dal percorso fisico che un dispositivo compie dalla fabbrica all'acquirente — un percorso che, quando passa attraverso rivenditori terzi e negozi sui marketplace, si trova fuori dal controllo diretto del produttore.