Producent portfeli sprzętowych Trezor zredukował swoją autoryzowaną sieć resellerów o około 80% po wykryciu złośliwych implantów sprzętowych w trzech kryptowalutowych portfelach Safe 5. Równolegle z restrukturyzacją firma udostępniła aktualizację firmware mającą zapobiec przechwytywaniu wrażliwych informacji z portfeli przez implanty.

W publikowanym 12 listopada 2026 roku komunikacie z postępu dochodzenia Trezor potwierdził, że wszystkie trzy naruszone urządzenia pochodziły od CryptoBilis, byłego resellera z Azji Południowo-Wschodniej. Choć żaden klient nie zgłosił utraty kryptowalut, firma nadal zaleca przeniesienie środków do nowo utworzonych portfeli. Trezor szczegółowo opisał swoje ustalenia w oficjalnym komunikacie z dochodzenia.

Potwierdzone trzy naruszone portfele

Implanty wykryto w egzemplarzach Safe 5 zakupionych w okresie od 20 sierpnia do 23 września 2026 roku, bezpośrednio od CryptoBilis lub poprzez jego sklepy na marketplace'ach Tokopedia i Shopee. Trezor fizycznie zbadł jeden naruszony portfel w swoim laboratorium, a dwa pozostałe implanty zidentyfikował na podstawie zdjęć przesłanych przez klientów.

Po opublikowaniu przez Trezor wstępnego ostrzeżenia w październiku 48 klientów CryptoBilis skontaktowało się z firmą, prosząc o pomoc. Śledczy nie znaleźli dowodów na manipulację w urządzeniach zakupionych od innych resellerów ani w innych modelach Trezora, choć dochodzenie nadal trwa.

Jak implanty pozyskują dane portfela

Złośliwy komponent to dodatkowa płytka drukowana zamontowana między płytą główną Safe 5 a jego wyświetlaczem. Potajemnie przechwytuje informacje wyświetlane na ekranie, w tym frazy odzyskiwania portfela i hasła, a następnie szyfruje skradzione dane i przesyła je przez sieć komórkową na serwer kontrolowany przez atakujących. Jeśli połączenie zawiedzie, implant przechowuje dane i ponawia próbę transmisji później.

Fraza odzyskiwania to główna kopia zapasowa portfela sprzętowego: może odtworzyć klucze portfela na dowolnym zgodnym urządzeniu, co oznacza, że jej przechwycenie równa się przejęciu kontroli nad chronionymi nią środkami — nawet jeśli samo urządzenie nie zostanie już nigdy więcej użyte.

Co istotne, implant nie modyfikuje oryginalnego firmware portfela ani Secure Element, co oznacza, że kluczowe komponenty bezpieczeństwa urządzenia pozostają nietknięte — szczegół, który czyni atak szczególnie niepokojącym, ponieważ modyfikacja działa poza kryptograficznym rdzeniem chronionym przez te komponenty, pozyskując to, co wyświetla ekran, zamiast zmieniać wewnętrzne operacje portfela.

Poprawka firmware i ostrzejsza kontrola łańcucha dostaw

Trezor wydał 11 listopada firmware w wersji 2.13.1, aby zablokować zidentyfikowanym implantom możliwość przechwytywania kolejnych informacji. Ponieważ aktualizacja nie może chronić fraz odzyskiwania, które atakujący mogli już uzyskać, firma zaleca klientom CryptoBilis przeniesienie kryptowalut do nowych portfeli z nowo wygenerowanymi frazami odzyskiwania. Dwa te środki odpowiadają na różne ryzyka: poprawka firmware zatrzymuje dalsze przechwytywanie po jej zainstalowaniu, podczas gdy nowy portfel chroni środki, jeśli fraza odzyskiwania została już ujawniona. Klienci, którzy zakupili urządzenia Trezor od CryptoBilis od marca 2026 roku, kwalifikują się również do wymiany urządzeń.

Równolegle Trezor usunął około cztery piąte swojej sieci resellerów i wprowadził ostrzejsze wymogi dotyczące pozyskiwania, przechowywania i obsługi urządzeń. Firma podkreśliła, że odrzuceni partnerzy niekoniecznie stanowili zagrożenie dla bezpieczeństwa; restrukturyzacja ma na celu wzmocnienie ochrony łańcucha dostaw i ograniczenie możliwości przyszłej manipulacji sprzętem. Dla kupujących ta sprawa jest przypomnieniem, że bezpieczeństwo portfela sprzętowego zależy nie tylko od jego kryptografii, ale także od fizycznej drogi, którą urządzenie pokonuje od fabryki do nabywcy — drogi, która, gdy prowadzi przez zewnętrznych sprzedawców i sklepy na marketplace'ach, znajduje się poza bezpośrednim nadzorem producenta.