Trezor sta riducendo la sua rete di rivenditori autorizzati, comunicando ai partner che la loro autorizzazione terminerà il 1° gennaio 2027 e che l'azienda non spedirà loro nuove scorte. La decisione arriva pochi giorni dopo che il rivale produttore di hardware wallet Ledger ha avviato un'indagine che ha infine confermato la presenza di uno spy implant nascosto nei wallet crypto venduti tramite un negozio terzo. Trezor afferma che la mossa è finalizzata a rafforzare i controlli sul proprio canale di distribuzione dopo una serie di incidenti di sicurezza nella supply chain.

L'azienda ha annunciato la mossa su X martedì, affermando che non esiste "nemmeno una singola prova" che un dispositivo Trezor sia stato compromesso. Ha descritto i tagli come un passo preventivo adottato puramente per prudenza.

"Dopo i recenti incidenti nella supply chain, abbiamo deciso di ridurre il numero di rivenditori per poter controllare in modo più efficace quelli con cui lavoriamo", ha scritto Trezor.

Cosa ha trovato Ledger

Il team di sicurezza Donjon di Ledger afferma che i wallet venduti da CryptoBilis, un rivenditore del Sud-est asiatico, contenevano un componente non autorizzato che legge lo schermo del dispositivo e decodifica la frase di recupero nel momento in cui appare. Lo spy implant invia quindi le parole via LTE, la stessa rete dati mobile usata da uno smartphone, tramite una eSIM, una SIM card integr nell'hardware.

Secondo Ledger, l'implant non altera il chip che memorizza le chiavi né il sistema operativo del dispositivo, il che significa che un wallet manomesso appare e funziona normalmente. L'investigatore onchain Specter ha tracciato oltre 86 milioni di dollari in furti sospetti legati allo schema, una cifra che Ledger afferma di non aver verificato.

Un hardware wallet è un piccolo dispositivo che mantiene le chiavi private delle crypto di un utente offline, al riparo dagli hacker. La configurazione produce una frase di recupero di 24 parole che funziona come password principale: chiunque possieda quelle parole può svuotare il wallet da qualsiasi parte del mondo. Poiché la sola frase di recupero è sufficiente a ripristinare un wallet su un altro dispositivo, catturarla dà a un attaccante pieno accesso ai fondi.

La lettera ai rivenditori

Il Chief Commercial Officer di Trezor, Danny Sanders, ha condiviso la lettera che l'azienda ha inviato ai partner che sta eliminando.

"Se state ricevendo questa lettera, la vostra autorizzazione termina il 1° gennaio 2027. In quella data vi rimuoveremo dal nostro elenco di rivenditori Trezor autorizzati", si legge nella lettera. "Mi dispiace. Questa decisione non dice nulla sul vostro impegno o sul modo in cui ci avete rappresentati."

"Si tratta di una misura precauzionale per proteggere la nostra supply chain e i nostri clienti", ha scritto Sanders. "Se in futuro le cose cambiano, la rivedremo."

I rivenditori coinvolti non riceveranno nuove scorte, ma potranno continuare a vendere le giacenze rimanenti fino al Black Friday e durante le festività. Sanders ha detto che la decisione riflette semplicemente quanti partner Trezor può verificare da vicino in autonomia. Né il post né la lettera hanno precisato quanti rivenditori siano coinvolti.

Trezor ha detto di aver esaminato ogni singolo paese, valutando fatturato e distribuzione rispetto alla propria presenza locale. I rivenditori che resteranno opereranno secondo un quadro giuridico aggiornato e regole più severe su come i dispositivi vengono forniti, stoccati e gestiti. La modifica del 1° gennaio 2027 e le nuove regole determineranno quindi come gli acquirenti accederanno alle scorte autorizzate una volta esaurite le giacenze dei rivenditori attuali.

Trezor ha inoltre detto su X all'inizio di questa settimana che CryptoBilis era già stato rimosso dal suo elenco di venditori e di non aver ricevuto segnalazioni di dispositivi Trezor manomessi dal rivenditore.

"Hi,'t open it. Forcing the casing open can damage the device, and if it's a Safe 7, the built-in battery makes that genuinely risky. If something about your device worries you, reach out via , and we'll take a look. We are actively investigating the…"

— Trezor (@Trezor) October 12, 2026

Una storia di preoccupazioni sulla supply chain

A maggio 2022, Trezor aveva avvertito che wallet Model T contraffatti erano venduti su un marketplace russo da un venditore che non era un rivenditore autorizzato. I dispositivi erano stati aperti, risigillati e dotati di componenti interni sostituiti, e Trezor aveva dichiarato che le frasi di recupero da essi generate erano prevedibili o predefinite, il che significa che qualcun altro poteva già conoscerle. Il consiglio di Trezor all'epoca era di acquistare solo dal suo negozio ufficiale o da un rivenditore autorizzato, la seconda opzione essendo proprio la rete che oggi sta riducendo.

Più di recente, ad agosto, il partner di spedizioni ShipMonk ha esposto dati di clienti Trezor dopo un accesso non autorizzato, e l'aggiornamento di settembre dell'azienda ha fissato a 80.689 il numero di clienti coinvolti. Trezor afferma che i suoi sistemi, dispositivi, chiavi private e backup dei wallet non sono stati interessati.

L'avvertimento di Ledger agli acquirenti

Ledger ha consigliato a chiunque abbia acquistato un dispositivo da CryptoBilis negli ultimi 90 giorni di non configurarlo, e a chi lo ha già fatto di spostare i propri fondi verso una nuova seed phrase su un dispositivo acquistato direttamente da Ledger. Sia Ledger che Trezor hanno avvertito gli acquirenti di non comprare hardware wallet da venditori non autorizzati.