Producent portfeli sprzętowych Trezor poinformował, że znacząco zredukuje liczbę autoryzowanych dystrybutorów uprawnionych do sprzedaży swoich urządzeń, a usunięcia z listy autoryzowanej wejdą w życie 1 stycznia 2027 r. Firma określiła tę decyzję jako „krok zapobiegawczy, podjęty z najwyższą ostrożnością” w odpowiedzi na ostatnie incydenty w łańcuchu dostaw dotykające branży portfeli sprzętowych. Autoryzowani dystrybutorzy to zewnętrzni sprzedawcy formalnie zatwierdzeni przez producenta do sprzedaży jego urządzeń.

Ogłoszenie pojawiło się we wtorkowym wpisie na X, w którym Trezor stwierdził, że nie ma „ani jednego dowodu” na to, że jego urządzenia zostały skompromitowane.

Po ostatnich incydentach w łańcuchu dostaw postanowiliśmy zredukować liczbę dystrybutorów, aby skuteczniej weryfikować tych, z którymi współpracujemy. Niech będzie jasne: nie ma ani jednego dowodu na to, że urządzenia Trezor zostały skompromitowane. To krok zapobiegawczy, podjęty…

— Trezor (@Trezor) October 13, 2026

Dyrektor handlowy Danny Sanders powiedział, że część dystrybutorów została już powiadomiona, że zostaną usunięci z listy autoryzowanej 1 stycznia 2027 r. Dodał, że wysyłki do tych dystrybutorów zostaną wstrzye we wtorek.

Trezor udostępnił również list wysłany do wybranych partnerów, w którym napisał, że portfel sprzętowy jest „równie bezpieczny, jak ścieżka, którą przemierza, aby dotrzeć do właściciela”. Zgodnie z listem firma chce mieć sieć dystrybutorów na tyle małą, aby móc zweryfikować każdego pozostałego partnera. Ci, którzy pozostaną w programie, zostaną objęci zaktualizowanymi ramami prawnymi oraz ściślejszą kontrolą sposobu pozyskiwania, przechowywania i obsługi urządzeń.

Do dystrybutorów, którzy pomogli zbudować Trezor: dziękuję i przepraszam 💔 pic.twitter.com/RK7KBJOshp

— Danny (@Dantoshi) October 13, 2026

Co się stało z Ledger

Decyzja zapadła kilka dni po tym, jak Ledger potwierdził, że co najmniej jedno z jego urządzeń zakupionych u południowoazjatyckiego dystrybutora zawierało nieautoryzowany implant sprzętowy. Chodzi o dystrybutora CryptoBilis.
Według doniesień implanty zostały przylutowane do urządzeń. Przechwytywały one frazy odzyskiwania użytkowników i przesyłały je za pośrednictwem sieci komórkowych. Fraz odzyskiwania to główna kopia zapasowa portfela samodzielnie przechowującego klucze — sekwencja słów, z której można odtworzyć wszystkie klucze prywatne portfela — więc każdy, kto ją zdobędzie, może przejąć środki, nie mając nawet fizycznego dostępu do sprzętu. Przypadek ten pokazuje również, jak działa atak na łańcuch dostaw: kompromitacja następuje między fabryką a kupującym, w fizycznym kanale dystrybucji, a nie w oprogramowaniu.

Incydent wyszedł na jaw 9 października 2026 r., gdy ujawniono, że atakujący mieli rzekomo naruszyć urządzenia sprzedawane przez zewnętrznego dystrybutora.

CryptoBilis jest również autoryzowanym dystrybutorem Trezora. W trakcie dochodzenia zawiesił sprzedaż wszystkich portfeli sprzętowych.

Oddzielnie spółka macierzysta MediaMarkt poinformowała, że usunęła wszystkie produkty Ledger ze swoich sklepów stacjonarnych i platform internetowych, określając ten krok jako środek ostrożności.

Ile wyniosły straty

Badacze blockchain wciąż pracują nad oszacowaniem łącznych strat. Badania dwóch osób wskazywały na straty od 72 mln do 86 mln dolarów, natomiast inne doniesienia szacowały łączną kwotę na 93 mln dolarów.

Ledger oświadczył we wtorek, że nie potwierdził łącznej liczby poszkodowanych użytkowników ani łącznej wartości utraconych środków.

Reakcja Trezora

Rzecznik Trezora poinformował Cointelegraph, że kontrole przeprowadzane podczas konfiguracji firmy zostały zaprojektowane tak, aby wykrywać podróbki urządzeń i zmodyfikowane oprogramowanie układowe. Implant znaleziony w urządzeniu od CryptoBilis działa inaczej, powiedział rzecznik.

Według rzecznika implant nie modyfikuje oprogramowania układowego urządzenia. Zamiast tego odczytuje informacje wyświetlane na ekranie i wysyła je atakującemu w późniejszym momencie. Takie zachowanie wykracza poza model bezpieczeństwa, wokół którego zbudowane są portfele sprzętowe, zakładający, że tajemnice urządzenia nigdy nie opuszczają samego sprzętu. Trezor oświadczył, że nie zaobserwował tego typu ataku na swoich urządzeniach w rzeczywistości.

Firma wezwała użytkowników do zakupów bezpośrednio u Trezora i sprawdzenia, czy plomba urządzenia jest nienaruszona. Zasugerowała również korzystanie z portfela wielopodpisowego z urządzeniami różnych producentów, tak aby pojedyncze skompromitowane urządzenie nie mogło samodzielnie przenieść środków.

Trudny rok dla portfeli sprzętowych

Według doniesień firmy zajmujące się portfelami sprzętowymi zmierzyły się w tym roku z blisko tuzinem incydentów, w tym z wyciekami danych, ujawnieniami dotyczącymi wstrzykiwania błędów laserowych oraz błędem entropii w oprogramowaniu układowym. Wstrzykiwanie błędów laserowych to fizyczna technika wykorzystująca skupione światło do wywoływania błędów w układzie scalonym i potencjalnego ominięcia jego zabezpieczeń, natomiast błąd entropii odnosi się do słabości losowości, od której zależy generowanie kluczy kryptograficznych.

Trezor sam zmierzył się z incydentem w sierpniu, gdy wyciek danych u zewnętrznego dostawcy realizacji zamówień ujawnił dane osobowe dziesiątek tysięcy klientów.

Najnowszym rozwojem wydarzeń jest to, że usunięcia dystrybutorów Trezora wejdą w życie 1 stycznia 2027 r., niecałe trzy miesiące po ogzeniu. Śledczy wciąż pracują nad ustaleniem pełnej skali strat związanych z incydentem Ledger.