Il produttore di hardware wallet Trezor ha avvertito i clienti che hanno acquistato i suoi dispositivi dal rivenditore CryptoBilis di spostare i propri fondi, dopo che un acquirente ha segnalato il ritrovamento di un implant hardware all'interno di un Trezor Safe 5, come ha dichiarato l'azienda venerdì.

Trezor ha dichiarato di aver ricevuto una segnalazione credibile di un implant in un Safe 5 acquistato da CryptoBilis nell'agosto 2026, pur non avendo ancora esaminato il dispositivo. L'implant, secondo quanto riferito, legge il backup del wallet dallo schermo e lo trasmette tramite rete mobile, un comportamento che l'azienda definisce simile al caso Ledger.

Un cliente in Indonesia ha segnalato l'implant attraverso il programma di responsible disclosure di Trezor il 28 ottobre, secondo un post sul blog dell'azienda. Il Safe 5 era stato acquistato da CryptoBilis tramite la piattaforma di e-commerce indonesiana Tokopedia nell'agosto 2026.

In un post su X, Trezor ha dichiarato:

CryptoBilis update We've been made aware, through responsible disclosure, of a single hardware implant in a Trezor Safe 5 device bought from the reseller CryptoBilis in August 2026. No CryptoBilis buyer has reported a loss of funds to us. IMPORTANT: If you bought a Trezor from… pic.twitter.com/TiaKfHBnX2

— Trezor (@Trezor) October 30, 2026

La segnalazione descrive una scheda elettronica aggiuntiva installata tra la scheda principale del dispositivo e il suo schermo, dotata di modulo cellulare e antenna. Secondo la segnalazione, che Trezor ha dichiarato di non aver verificato, la scheda legge tutto ciò che appare sullo schermo, incluso il backup del wallet, e lo trasmette tramite rete mobile ogni volta che il dispositivo viene collegato.

La manomissione effettuata dopo che un dispositivo lascia la fabbrica e prima che raggiunga l'acquirente è comunemente descritta come un attacco alla supply chain, un modello di minaccia distinto per gli hardware wallet, la cui sicurezza si basa sull'arrivo del dispositivo intatto. Un implant come quello descritto non avrebbe bisogno di violare alcuna crittografia; gli sarebbe sufficiente catturare ciò che il dispositivo stesso visualizza.

Trezor non ha ancora ricevuto il dispositivo, ma ha dichiarato di trattare la segnalazione come credibile sulla base della descrizione del cliente e di un'intervista video. "Quello che abbiamo visto sembra abbastanza sofisticato da averci spinto ad avvertire subito i clienti", ha dichiarato l'azienda. "Attendere la conferma di laboratorio lasciarebbe nel frattempo gli acquirenti CryptoBilis esposti al rischio."

Nessun acquirente CryptoBilis ha segnalato a Trezor una perdita di fondi, ha detto l'azienda.

Gli hardware wallet mantengono le chiavi private dell'utente offline, mentre la frase di recupero, una sequenza di parole generata durante la configurazione del dispositivo, può essere utilizzata per ripristinare l'accesso ai fondi su un nuovo dispositivo. La frase è l'elemento più sensibile della configurazione: chiunque la ottenga può ricreare il wallet sul proprio dispositivo e controllare i fondi, e tale esposizione non può essere annullata una volta che le parole sono state viste.

Trezor ha invitato chiunque abbia acquistato uno dei suoi wallet da CryptoBilis da marzo 2026 in poi a spostare i propri fondi su un wallet appena creato con una nuova frase di recupero il prima possibile, e a non riutilizzare la vecchia frase su nessun dispositivo. Gli acquirenti che non hanno ancora configurato il proprio dispositivo non dovrebbero usarlo. I clienti interessati possono conservare il dispositivo acquistato da CryptoBilis e contattare l'assistenza Trezor per una sostituzione.

L'incidente CryptoBilis

Trezor ha rimosso CryptoBilis dall'elenco dei rivenditori il 9 ottobre, dopo che il produttore concorrente di hardware wallet Ledger aveva iniziato a indagare sulle perdite tra i clienti che avevano acquistato i suoi dispositivi dal rivenditore del Sud-est asiatico. Da allora Trezor ha esaminato quattro dei suoi dispositivi acquistati da CryptoBilis, un Safe 7, due Safe 5 e un Safe 3, senza trovare evidenze di manomissione.

Il team di sicurezza Donjon di Ledger ha trovato un implant nei dispositivi Ledger venduti tramite CryptoBilis che legge la frase di recupero di 24 parole dallo schermo durante la configurazione e la trasmette tramite LTE. Il post sul blog di Trezor afferma che l'implant appena segnalato "sembra operare in modo simile", sebbene l'azienda abbia aggiunto che non farà confronti mentre le indagini sono in corso e non sa chi ne sia responsabile.

Ledger ha dichiarato che tutte le perdite confermate riguardano dispositivi acquistati da CryptoBilis, e ha chiesto ai rivenditori di sette mercati asiatici di ritirare i suoi dispositivi. Una delle vittime più grandi è stata un truffatore che ha perso più di 60 BTC, del valore di circa 4,8 milioni di dollari, secondo la società di analisi blockchain Chainalysis.

Quello che accadrà dipenderà dalle prove fisiche: una volta che il dispositivo sarà arrivato, l'esame di laboratorio di Trezor fornirà la prima verifica diretta della segnalazione del cliente, e le indagini di entrambi i produttori rimangono aperte. L'avvertimento di Trezor risale a marzo 2026, mesi prima dell'acquisto del dispositivo segnalato, quindi l'intera portata degli acquirenti coinvolti resta indeterminata.

Trezor ha già dovuto in passato avvertire i clienti di problemi legati a partner. In agosto, ha dichiarato che una violazione presso il fornitore di spedizioni ShipMonk aveva esposto nomi, numeri di telefono e indirizzi di domicilio di quasi 14.000 clienti statunitensi, una cifra cresciata di altri 67.000 a settembre.