Trezor potwierdził, że w trzech portfelach Safe 5 sprzedanych przez południowoazjatyckiego resellera CryptoBilis znajdowały się złośliwe implanty sprzętowe, co poszerza dochodzenie w sprawie naruszonych urządzeń zdolnych do kradzieży fraz odzyskiwania — tajnych fraz przywracających i kontrolujących dostęp do portfela — i przesyłania ich atakującym.

Według aktualizacji dochodzenia opublikowanej przez firmę trzy dotknięte portfele zostały zakupione między 20 sierpnia a 23 września 2026 roku przez sklepy CryptoBilis na platformach Tokopedia i Shopee lub bezpośrednio u resellera. Trezor zbadał jedno urządzenie w swoim laboratorium, a pozostałe dwa zidentyfikował na podstawie fotografii dostarczonych przez ich właścicieli.

Od rozpoczęcia dochodzenia Trezor otrzymał zgłoszenia od 48 klientów CryptoBilis. W dotychczas zbadanych urządzeniach nie zidentyfikowano dodatkowych implantów, a żaden klient nie zgłosił utraty środków.

Równolegle z publikacją ustaleń Trezor wydał 11 listopada oprogramowanie układowe w wersji 2.13.1, aby unieszkodliwić zidentyfikowane implanty. Firma zredukowała również swoją autoryzowaną sieć resellerów o około 80%, wprowadzając ostrzejsze kontrole przechowywania, obsługi i dystrybucji urządzeń — etapów łańcucha dostaw przypadających po opuszczeniu linii produkcyjnej Trezora i przed dotarciem portfela do kupującego, poza bezpośrednim nadzorem producenta.

Ukryty sprzęt przechwytywał frazy odzyskiwania

Atak opierał się na dodatkowej płycie drukowanej ukrytej między płytą główną Safe 5 a ekranem dotykowym. Wyposażona w modem komórkowy i antenę, komponent mógł potajemnie kopiować informacje wyświetlane na ekranie urządzenia, w tym frazy odzyskiwania i frazy dostępu.

Przechwycone dane były szyfrowane i przesyłane sieciami komórkowymi na serwer kontrolowany przez atakującego. Gdy połączenie było niedostępne, implant przechowywał informacje i wielokrotnie podejmował próby transmisji, aż do skutku.

Modyfikacja działała niezależnie od oprogramowania układowego portfela i Secure Element, co oznacza, że atakujący mogli gromadzić wrażliwe informacje bez ingerencji w oprogramowanie podpisujące urządzenia. To rozróżnienie ma istotne znaczenie, ponieważ portfele sprzętowe opierają się na założeniu, że tajemnice pozostają odizolowane we własnych komponentach; w tym przypadku dane były wyprowadzane za pomocą dodanego sprzętu, a nie poprzez przełamanie oprogramowania podpisującego.

Odkrycie nastąpiło po odrębnym dochodzeniu w sprawie opróżniania portfeli, skoncentrowanym na urządzeniach Ledger sprzedawanych przez tego samego resellera, gdzie podobne ukryte komponenty wykorzystano do przechwytywania fraz odzyskiwania podczas inicjalizacji portfela. Trezor usunął CryptoBilis z autoryzowanej sieci resellerów 9 października, po tym jak Ledger rozpoczął badanie naruszonych urządzeń dystrybuowanych przez tego sprzedawcę. Producent następnie ogłosił plany redukcji sieci resellerów, zanim 28 października otrzymał pierwsze zgłoszenie dotyczące własnego produktu.

Aktualizacja firmware nie eliminuje wcześniejszego narażenia

Firmware 2.13.1 uniemożliwia zidentyfikowanym implantom dalsze przechwytywanie informacji na zaktualizowanych urządzeniach, ale nie może chronić fraz odzyskiwania ani fraz dostępu zebranych przed instalacją. Klienci, którzy zakupili jakikolwiek portfel Trezor przez CryptoBilis od marca 2026 roku — czyli w okresie sięgającym kilku miesięcy wstecz przed potwierdzonymi zakupami naruszonych urządzeń — zostali w związku z tym pouczeni, aby przenieśli swoje aktywa do nowego portfela zabezpieczonego świeżo wygenerowaną frazą odzyskiwania. Samo zaktualizowanie firmware lub przywrócenie istniejącej frazy odzyskiwania na innym urządzeniu nie usuwa potencjalnego narażenia, ponieważ fraza, która została już skopiowana, pozostaje naruszona niezależnie od tego, gdzie zostanie później użyta.

Ci klienci kwalifikują się do wymiany urządzeń za pośrednictwem wsparcia Trezor. W zależności od ograniczeń wysyłkowych firma może zapewnić model alternatywny, zorganizować dostawę do innego kraju lub zwrócić środki.

Trezor nie znalazł dowodów na obecność naruszonych urządzeń u innych resellerów ani implantów dotykających modeli innych niż Safe 5. Dochodzenie pozostaje w toku, przy wsparciu usługi reagowania awaryjnego SEAL 911 działającej w ramach Security Alliance — inicjatywy branżowej łączącej ofiary kradzieży kryptowalut z osobami reagującymi na incydenty. Firma nie wskazała, kiedy przegląd zostanie zakończony.

Firma przestrzegła również klientów przed fałszywymi ofertami wymiany urządzeń i próbami phishingu, podkreślając, że jej zespół wsparcia nigdy nie poprosi o frazy odzyskiwania ani klucze prywatne, a oficjalne kanały Trezora pozostają wiarygodnym źródłem aktualizacji w tej sprawie.