Producent portfeli sprzętowych Trezor wydał wczesne ostrzeżenie dla klientów, którzy kupili urządzenia od resellera CryptoBilis, informując, że zgłoszenie implantu sprzętowego wewnątrz Trezor Safe 5 jest wystarczająco wiarygodne, by zareagować, jeszcze przed zakończeniem badania laboratoryjnego. Według zespołu ds. odpowiedzialnego ujawniania Trezora każdy, kto kupił Trezora od CryptoBilis od marca 2026 roku, powinien przenieść środki przechowywane na urządzeniu do portfela wygenerowanego z nowej frazy seed.

Firma poinformowała o tym 30 października 2026 roku. Jej zespół bezpieczeństwa otrzymał zgłoszenie 28 października. Zgłoszenie twierdzi, że implant sprzętowy został wbudowany w Trezor Safe 5, który kupujący nabył od CryptoBilis w sierpniu 2026 roku przez indonezyjski marketplace Tokopedia. Trezor nie zbadał jeszcze fizycznie urządzenia, ale stwierdził, że traktuje relację klienta, popartą wywiadem wideo, jako wiarygodną. Firma zdecydowała się ostrzec kupujących teraz, zamiast czekać na potwierdzenie laboratoryjne. Jak dotąd żaden klient CryptoBilis nie zgłosił Trezorowi utraty środków.

Co opisuje zgłoszenie implantu

Zgłoszenie Trezora opisuje dodatkową płytkę drukowaną umieszczoną między płytką główną Safe 5 a jego ekranem. Płytka zawiera moduł komórkowy i antenę. Według zgłoszenia domniemany implant odczytuje wszystko, co wyświetla się na ekranie, w tym kopię zapasową portfela, i przesyła te dane przez sieć komórkową po podłączeniu urządzenia. Chodzi o frazę seed — sekwencję słów generowaną podczas konfiguracji portfela sprzętowego, która sama w sobie wystarcza do odtworzenia portfela i wydawania środków z innego urządzenia. Jeśli opis jest trafny, implant tego typu ujawniłby jedyną rzecz, która w pełni kontroluje portfel.

Trezor stwierdził, że konfiguracja przypomina implanti znalezione w urządzeniach Ledger sprzedawanych przez tego samego resellera, ale dodał, że nie potwierdzi tego powiązania, dopóki trwają dochodzenia.

Zgłoszenie zostało złożone przez program odpowiedzialnego ujawniania Trezora przez klienta z Indonezji. Klient ten przeniósł już środki z urządzenia przed odkryciem implantu. Trezor podziękował zgłaszającemu oraz SEAL 911, serwisowi reagowania awaryjnego Security Alliance, które wspierały sprawę i pomoc dla dotkniętych kupujących.

Dlaczego dotyczy to wszystkich kupujących od CryptoBilis

CryptoBilis był oficjalnym resellerem Trezora w Azji Południowo-Wschodniej do października 2026 roku. 9 października Ledger rozpoczął badanie utraty środków wśród klientów, którzy kupili urządzenia od tego resellera, a później stwierdził, że część z nich została fizycznie zmodyfikowana. Ponieważ CryptoBilis sprzedawał także produkty Trezor, Trezor zakończył współpracę z resellerem tego samego dnia i rozpoczął przegląd urządzeń klientów.

Zgłoszenie z 28 października jest według Trezora pierwszym sugerującym możliwy implant we własnym urządzeniu firmy z tego kanału sprzedaży. Firma poinformowała, że zalecenia obejmują każdy model Trezora kupiony od CryptoBilis, nie tylko Safe 5 wymieniony w zgłoszeniu. Nie otrzymała zgłoszeń dotyczących żadnego innego resellera.

Sprawa pokazuje, że obietnica bezpieczeństwa zapieczętowanego portfela sprzętowego nadal zależy od tego, kto obsługiwał urządzenie, zanim trafiło do kupującego. Dwa pytania pozostają otwarte: czy badanie laboratoryjne zgłoszonego Safe 5 potwierdzi relację klienta i do jakich wniosków doprowadzą trwające dochodzenia w sprawie implantów zgłoszonych w urządzeniach Ledger sprzedawanych przez ten sam kanał.

Co powinni zrobić dotknięci kupujący

Trezor zalecił każdemu, kto kupił Trezora od CryptoBilis od marca 2026 roku i przechowuje na urządzeniu środki, aby jak najszybciej przenieść je do nowo utworzonego portfela z nowym seedem. Przywrócenie starej kopii zapasowej na innym urządzeniu nie usuwa ryzyka, ponieważ seed mógł już zostać ujawniony na naruszonym urządzeniu. Kupujący, którzy nie posiadają drugiego bezpiecznego portfela sprzętowego, mogą tymczasowo przechować środki w portfelu programowym lub na giełdzie, której już ufają, i powinni zweryfikować pełny adres odbiorczy przed wysłaniem.

Firma nakazała również, aby nie konfigurować nieotwartych urządzeń z tego kanału i nigdy nie wprowadzać na nich istniejących kopii zapasowych portfeli. Trezor podkreślił, że jego zespół wsparcia nigdy nie prosi o frazę odzyskiwania. Ostrzegł także, że oszuści prawdopodobnie wykorzystają tę wiadomość do phishingu — fałszywe e-maile, listy i telefony już stanowią ryzyko.

Dotknięci kupujący od CryptoBilis nadal mogą otrzymać nowego Trezora wysłanego bezpośrednio lub bon na wymianę. Powinni zachować urządzenie od CryptoBilis i skontaktować się z pomocą techniczną.