Hardware-portemonneefabrikant Trezor roept klanten die sinds maart apparaten kochten bij voormalig geautoriseerd wederverkoper CryptoBilis op hun fondsen te verplaatsen, na een melding van een vermoedelijk implantaat in een Trezor Safe 5.

Trezor maakte de melding vrijdag bekend in een officiële blogpost, en de waarschuwing werd ook gedeeld op X. Volgens de melding ontdekte een klant in Indonesië in augustus een ongeautoriseerd printplaatje in een Safe 5 die was gekocht op marktplaats Tokopedia. Het vermoedelijke implantaat zou informatie die op het scherm van het apparaat wordt getoond kunnen vastleggen — waaronder herstelzinnen van de portemonnee — en via een mobiel netwerk verzenden. Hardware-portemonnees zijn ontworpen om herstelzinnen offline te houden, en daarom raakt een apparaat dat verdacht wordt van het lekken van wat het toont aan de kern van het beveiligingsmodel van het product.

Trezor zei het apparaat nog niet te hebben onderzocht en geen meldingen van gerelateerde verliezen te hebben ontvangen.

"We hebben het apparaat nog niet in ons laboratorium gehad, maar we behandelen de melding als betrouwbaar, en we waarschuwen mensen liever nu dan te wachten op bevestiging en er vervolgens achter te komen dat iemand in de tussentijd zijn fondsen heeft verloren," aldus chief commercial officer van Trezor Danny Sanders tegen Cointelegraph.

Een woordvoerder van het bedrijf omschreef de verkopen via CryptoBilis als "zeer klein", maar wilde geen cijfers verstrekken. De woordvoerder voegde toe dat Trezor niet heeft vastgesteld waar de vermoedelijke manipulatie heeft plaatsgevonden en dat het zijn hardwarebeveiligingen herziet, met de erkenning dat bestaande beveiligingsmaatregelen — waaronder verzegelingen en verpakkingen — op zichzelf niet voldoende zijn. In de praktijk houdt het verplaatsen van fondsen in dat een nieuwe portemonnee met een verse herstelzin wordt aangemaakt op een apparaat dat via een vertrouwd kanaal is verkregen, waarbij elke herstelzin die mogelijk op het verdachte apparaat is getoond buiten gebruik wordt gesteld.

Ledger-manipulatie en eerdere waarschuwingen aan Trezor

De waarschuwing volgt op meldingen van cryptoverliezen met betrekking tot Ledger-portemonnees die via CryptoBilis waren verkocht en op 9 oktober naar boven kwamen. Ledger bevestigde een ongeautoriseerd hardware-implantaat in één van de apparaten.

Securityonderzoeker Joe Grand vertelde Cointelegraph eerder dat hij Trezor in augustus had gewaarschuwd over gemanipuleerde Trezor One- en Model T-portemonnees die waren gekocht via ongeautoriseerde verkopers op TikTok en Facebook. Trezor zei dat zijn eerdere verklaring van geen bewijs van gecompromitteerde apparaten alleen van toepassing was op nieuwe portemonnees die via geautoriseerde wederverkopers waren verkocht, en voegde eraan toe dat de setup-controles gericht waren op namaakapparaten en aangepaste firmware — terwijl het implantaat dat in een via CryptoBilis verkochte Ledger werd aangetroffen het scherm uitlees zonder de firmware te wijzigen.

Een gestolen herstelzin kan een aanvaller in staat stellen een portemonnee op een ander apparaat te herstellen en de fondsen te verplaatsen.

Trezor kondigde op 13 oktober plannen aan om zijn wederverkopersnetwerk te verkleinen.

Gerelateerd: Gemanipuleerde Ledger-portemonnees kosten gebruikers in Singapore $2,7 miljoen, zegt politie

Bron: Cointelegraph