Il produttore di hardware wallet Trezor ha emesso un avviso preliminare ai clienti che hanno acquistato dispositivi dal rivenditore CryptoBilis, dichiarando che la segnalazione di un implant hardware all'interno di un Trezor Safe 5 è sufficiently credibile da agire prima del completamento dell'ispezione di laboratorio. Secondo la divulgazione di Trezor, chiunque abbia acquistato un Trezor da CryptoBilis da marzo 2026 in poi dovrebbe spostare i fondi presenti sul dispositivo verso un wallet generato da una nuova frase seed.

La società è intervenuta il 30 ottobre 2026. Il suo team di sicurezza ha ricevuto la segnalazione il 28 ottobre. La segnalazione denuncia l'inserimento di un implant hardware in un Trezor Safe 5 acquistato dall'utente da CryptoBilis ad agosto 2026 tramite il marketplace indonesiano Tokopedia. Trezor non ha ancora esaminato fisicamente il dispositivo, ma ha dichiarato di considerare credibile il racconto del cliente, supportato da un'intervista video. Ha scelto di avvisare gli acquirenti subito invece di attendere la conferma di laboratorio. Finora, nessun cliente CryptoBilis ha segnalato a Trezor una perdita di fondi.

Cosa afferma la segnalazione sull'implemento

La divulgazione di Trezor descrive una scheda circuitale aggiuntiva collocata tra la scheda principale del Safe 5 e il suo schermo. La scheda ospita un modulo cellulare e un'antenna. Secondo la segnalazione, l'implemento presunto leggerebbe tutto ciò che lo schermo visualizza, incluso il backup del wallet, e trasmetterebbe tali dati tramite rete mobile una volta collegato il dispositivo. Il backup in questione è la frase seed — la sequenza di parole generata alla configurazione di un hardware wallet che da sola è sufficiente a ricreare il wallet e spenderne i fondi da un altro dispositivo. Se la descrizione fosse accurata, un implemento di questo tipo esporrebbe l'unico elemento che controlla completamente il wallet.

Trezor ha dichiarato che la configurazione assomiglia agli implementi trovati in dispositivi Ledger venduti dallo stesso rivenditore, ma ha aggiunto che non confermerà tale collegamento mentre le indagini sono in corso.

La segnalazione è stata presentata tramite il programma di responsible disclosure di Trezor da un cliente in Indonesia. Quel cliente aveva già spostato i fondi dal dispositivo prima di scoprire l'implemento. Trezor ha ringraziato il segnalatore e SEAL 911, il servizio di risposta emergenziale della Security Alliance, entrambi i quali hanno assistito nel caso e nel supporto agli acquirenti coinvolti.

Perché tutti gli acquirenti CryptoBilis sono coinvolti

CryptoBilis era un rivenditore ufficiale Trezor nel Sud-est asiatico fino a ottobre 2026. Il 9 ottobre Ledger ha avviato un'indagine sulle perdite di fondi tra i clienti che avevano acquistato dispositivi dal rivenditore, dichiarando successivamente che alcuni di quei dispositivi erano stati fisicamente alterati. Poiché CryptoBilis vendeva anche prodotti Trezor, Trezor ha rescisso il rapporto con il rivenditore lo stesso giorno e ha iniziato a esaminare i dispositivi dei clienti.

La segnalazione del 28 ottobre è, secondo Trezor, la prima ricevuta che suggerisce un possibile implemento in uno dei suoi dispositivi provenienti da quel canale di vendita. La società ha dichiarato che le sue indicazioni coprono ogni modello Trezor acquistato da CryptoBilis, non solo il Safe 5 citato nella segnalazione. Non ha ricevuto segnalazioni che coinvolgano altri rivenditori.

Il caso evidenzia come la promessa di sicurezza di un hardware wallet sigillato dipenda ancora da chi ha maneggiato il dispositivo prima che arrivasse all'acquirente. Due domande restano aperte: se l'ispezione di laboratorio del Safe 5 segnalato confermerà il racconto del cliente, e a quali conclusioni giungeranno le indagini in corso sugli implementi segnalati nei dispositivi Ledger venduti tramite lo stesso canale.

Cosa devono fare gli acquirenti coinvolti

Trezor ha consigliato a chiunque abbia acquistato un Trezor da CryptoBilis da marzo 2026 in poi e che detenga fondi sul dispositivo, di spostarli il prima possibile verso un wallet appena creato con una nuova seed. Ripristinare il vecchio backup su un altro dispositivo non elimina il rischio, poiché la seed potrebbe essere già stata esposta su un'unità manomessa. Gli acquirenti privi di un secondo hardware wallet sicuro possono parcheggiare temporaneamente i fondi in un software wallet o su un exchange di cui già si fidano, e dovrebbero verificare l'indirizzo di ricezione completo prima di inviare.

La società ha inoltre istruito gli acquirenti a non configurare dispositivi ancora sigillati provenienti da quel canale e a non inserire mai backup di wallet esistenti su di essi. Trezor ha sottolineato che il suo team di Supporto non chiederà mai una frase di recupero. Ha inoltre avvertito che truffatori probabilmente sfrutteranno la notizia per phishing, con false e-mail, lettere e telefonate che rappresentano già un rischio.

Gli acquirenti CryptoBilis coinvolti hanno comunque diritto a un nuovo Trezor spedito direttamente o a un buono per la sostituzione. Dovrebbero conservare il dispositivo CryptoBilis e contattare il Supporto.