Hardware wallet-fabrikant Trezor heeft klanten die haar apparaten kochten bij reseller CryptoBilis gewaarschuwd hun geld te verplaatsen, nadat een koper meldde een hardware-implant te hebben aangetroffen in een Trezor Safe 5, meldde het bedrijf vrijdag.

Trezor zei een geloofwaardige melding te hebben ontvangen van een implant in een Safe 5 die in augustus 2026 bij CryptoBilis was gekocht, hoewel het het apparaat nog niet heeft onderzocht. De implant zou de wallet-backup van het scherm uitlezen en via een mobiel netwerk verzenden—gedrag dat volgens het bedrijf lijkt op het geval bij Ledger.

Een klant in Indonesië meldde de implant op 28 oktober via het responsible disclosure-programma van Trezor, aldus een blogpost van het bedrijf. De Safe 5 was in augustus 2026 bij CryptoBilis gekocht via het Indonesische e-commerceplatform Tokopedia.

In een bericht op X zei Trezor:

CryptoBilis update We've been made aware, through responsible disclosure, of a single hardware implant in a Trezor Safe 5 device bought from the reseller CryptoBilis in August 2026. No CryptoBilis buyer has reported a loss of funds to us. IMPORTANT: If you bought a Trezor from… pic.twitter.com/TiaKfHBnX2

— Trezor (@Trezor) October 30, 2026

De melding beschrijft een extra printplaat die tussen het moederbord en het scherm van het apparaat is geplaatst, voorzien van een cellulair module en een antenne. Volgens de melding, die Trezor volgens eigen zeggen niet heeft geverifieerd, leest de plaat alles af wat op het scherm verschijnt—inclusief de wallet-backup—and verzendt het via een mobiel netwerk zodra het apparaat wordt aangesloten.

Manipulatie die plaatsvindt nadat een apparaat de fabriek verlaat en voordat het de koper bereikt, wordt doorgaans een supply chain-aanval genoemd—een apart bedreigingsmodel voor hardware wallets, waarvan de veiligheid ervan afhangt dat het apparaat onaangeroerd aankomt. Een implant zoals beschreven hoeft geen enkele cryptografie te verslaan; het hoeft slechts vast te leggen wat het apparaat zelf weergeeft.

Trezor heeft het apparaat nog niet ontvangen, maar zei de melding als geloofwaardig te behandelen op basis van de beschrijving van de klant en een video-interview. "Wat we hebben gezien ziet er geavanceerd genoeg uit dat we hebben besloten klanten nu te waarschuwen", aldus het bedrijf. "Wachten op bevestiging in het laboratorium zou kopers bij CryptoBilis in de tussentijd onbeschermd laten."

Geen enkele koper bij CryptoBilis heeft geldverlies gemeld aan Trezor, aldus het bedrijf.

Hardware wallets bewaren de privésleutels van een gebruiker offline, terwijl de herstelzin—een reeks woorden die wordt gegenereerd bij het instellen van het apparaat—kan worden gebruikt om de toegang tot geld op een nieuw apparaat te herstellen. De zin is het meest gevoelige onderdeel van de opzet: iedereen die deze bemachtigt, kan de wallet op een eigen apparaat reconstrueren en over het geld beschikken, en die blootstelling kan niet ongedaan worden gemaakt zodra de woorden zijn gezien.

Trezor drong erop aan dat iedereen die vanaf maart 2026 een wallet bij CryptoBilis heeft gekocht, het geld zo snel mogelijk verplaatst naar een nieuw aangemaakte wallet met een nieuwe herstelzin, en de oude zin op geen enkel apparaat hergebruikt. Kopers die hun apparaat nog niet hebben ingesteld, moeten het niet gebruiken. Getroffen klanten kunnen hun CryptoBilis-apparaat behouden en contact opnemen met Trezor Support voor een vervangend exemplaar.

Het CryptoBilis-incident

Trezor verwijderde CryptoBilis op 9 oktober als reseller, nadat concurrent en hardware wallet-fabrikant Ledger begon met het onderzoeken van verliezen onder klanten die haar apparaten bij de Zuidoost-Aziatische reseller hadden gekocht. Trezor heeft sindsdien vier van haar apparaten die bij CryptoBilis waren gekocht geïnspecteerd—een Safe 7, twee Safe 5's en een Safe 3—en geen aanwijzingen voor manipulatie gevonden.

Het beveiligingsteam Donjon van Ledger trof een implant aan in Ledger-apparaten die via CryptoBilis waren verkocht, die tijdens de installatie de herstelzin van 24 woorden van het scherm uitleest en via LTE verzendt. De blogpost van Trezor zegt dat de nieuw gemelde implant "op vergelijkbare wijze lijkt te werken", hoewel het bedrijf eraan toevoegde geen vergelijkingen te zullen trekken zolang de onderzoeken lopen en niet te weten wie erachter zit.

Ledger heeft gezegd dat alle bevestigde verliezen betrekking hebben op apparaten die bij CryptoBilis zijn gekocht, en heeft resellers in zeven Aziatische markten gevraagd haar apparaten uit de schappen te halen. Eén van de grootste slachtoffers was een oplichter die meer dan 60 BTC verloor, ter waarde van circa $4,8 miljoen, volgens blockchain-analysebedrijf Chainalysis.

Wat er vervolgens gebeurt, hangt af van het fysieke bewijs: zodra het apparaat aankomt, zal het laboratoriumonderzoek van Trezor de eerste directe verificatie van de melding van de klant opleveren, en de onderzoeken van beide fabrikanten lopen nog. De waarschuwing van Trezor loopt terug tot maart 2026—maanden voordat het gemelde apparaat werd gekocht—waardoor de volledige omvang van getroffen kopers onbekend blijft.

Ook eerder moest Trezor klanten waarschuwen voor fouten van partners. In augustus meldde het bedrijf dat een inbreuk bij verzendprovider ShipMonk de namen, telefoonnummers en thuisadressen van bijna 14.000 Amerikaanse klanten had blootgesteld—aantal dat in september met nog eens 67.000 groeide.