Hardwarewalletfabrikant Trezor heeft zijn geautoriseerde resellernetwerk met ongeveer 80% ingekrompen nadat kwaadaardige hardware-implants zijn aangetroffen in drie Safe 5 crypto-wallets. Naast deze herstructurering bracht het bedrijf een firmware-update uit die bedoeld is te voorkomen dat de implants gevoelige walletinformatie afvangen.

In een onderzoeksupdate gepubliceerd op 12 november 2026 bevestigde Trezor dat alle drie de gecompromitteerde apparaten afkomstig waren van CryptoBilis, een voormalige reseller in Zuidoost-Azië. Hoewel geen enkele klant verlies van cryptocurrency heeft gemeld, blijft het bedrijf aanbevelen gelden over te zetten naar nieuw aangemaakte wallets. Trezor lichtte zijn bevindingen toe in een officiële onderzoeksupdate.

Drie gecompromitteerde wallets bevestigd

De implants zijn aangetroffen in Safe 5-apparaten die tussen 20 augustus en 23 september 2026 zijn aangeschaft, hetzij rechtstreeks bij CryptoBilis, hetzij via de winkels van het bedrijf op de marktplaatsen Tokopedia en Shopee. Trezor heeft één gecompromitteerde wallet fysiek in zijn laboratorium onderzocht en de twee overige implants geïdentificeerd op basis van foto's die door klanten waren ingestuurd.

Nadat Trezor in oktober zijn eerste waarschuwing had uitgebracht, namen 48 klanten van CryptoBilis contact op met het bedrijf voor hulp. Onderzoekers hebben geen aanwijzingen gevonden voor manipulatie van apparaten die bij andere resellers zijn gekocht of van andere Trezor-modellen, maar het onderzoek loopt nog.

Hoe de implants walletgegevens afvangen

Het kwaadaardige onderdeel is een extra printplaat die tussen het hoofdbord van de Safe 5 en het display is geplaatst. Het vingt heimelijk informatie af die op het scherm verschijnt, waaronder herstelzinnen en wachtzinnen van de wallet, versleutelt vervolgens de gestolen gegevens en verzendt deze via een mobiel netwerk naar een server onder controle van de aanvaller. Lukt de verbinding niet, dan slaat de implant de gegevens op en probeert het deze later te verzenden.

Een herstelzin is de hoofdback-up van een hardwarewallet: hij kan de sleutels van de wallet op elk compatibel apparaat opnieuw genereren, wat betekent dat het afvangen ervan gelijkstaat aan het verkrijgen van controle over de fondsen die hij beschermt, zelfs als het apparaat zelf daarna nooit meer wordt aangeraakt.

Opmerkelijk is dat de implant de originele firmware of het Secure Element van de wallet niet wijzigt, wat betekent dat de kernbeveiligingscomponenten van het apparaat ongewijzigd blijven — een detail dat de aanval bijzonder zorgelijk maakt, omdat de aanpassing buiten de cryptografische kern die deze componenten beschermen opereert en afvangt wat het scherm toont in plaats van de interne werking van de wallet te veranderen.

Firmwarefix en strengere supply-chaincontroles

Trezor bracht op 11 november firmwareversie 2.13.1 uit om te voorkomen dat de geïdentificeerde implants aanvullende informatie afvangen. Omdat de update herstelzinnen die aanvallers mogelijk al hebben verkregen niet kan beschermen, raadt het bedrijf klanten van CryptoBilis aan hun cryptocurrency over te zetten naar nieuwe wallets met nieuw gegenereerde herstelzinnen. De twee maatregelen dekken verschillende risico's: de firmwarepatch stopt verdere afvang na installatie, terwijl de nieuwe wallet fondsen beschermt als een herstelzin al is blootgesteld. Klanten die sinds maart 2026 Trezor-apparaten bij CryptoBilis hebben gekocht, komen daarnaast in aanmerking voor vervanging.

Tegelijkertijd heeft Trezor ongeveer vier vijfde van zijn resellernetwerk verwijderd en strengere eisen gesteld aan de inkoop, opslag en behandeling van apparaten. Het bedrijf benadrukte dat de verwijderde partners niet per se een veiligheidsrisico vormden; de herstructurering is bedoeld om de bescherming van de toeleveringsketen te versterken en kansen voor toekomstige hardwaremanipulatie te verkleinen. Voor kopers is dit voorval een herinnering dat de beveiliging van een hardwarewallet niet alleen afhangt van de cryptografie, maar ook van het fysieke pad dat een apparaat aflegt van fabriek tot koper — een pad dat, wanneer het via externe verkopers en marktplaatsetwinkels loopt, buiten het directe toezicht van de fabrikant valt.