Producent portfeli sprzętowych Trezor ostrzegł klientów, którzy kupili jego urządzenia u resellera CryptoBilis, aby przenieśli swoje środki — po tym, jak kupujący zgłosił znalezienie implantu sprzętowego w Trezorze Safe 5 — poinformowała firma w piątek.

Trezor powiedział, że otrzymał wiarygodne zgłoszenie dotyczące implantu w Safe 5 zakupionym u CryptoBilis w sierpniu 2026 roku, choć nie zbadał jeszcze urządzenia. Według doniesień implant odczytuje kopię zapasową portfela z ekranu i przesyła ją przez sieć komórkową — zachowanie, które według firmy przypomina przypadek Ledgera.

Klient z Indonezji zgłosił implant 28 października w ramach programu odpowiedzialnego ujawniania luk Trezora, zgodnie z wpisem na firmowym blogu. Safe 5 został kupiony u CryptoBilis za pośrednictwem indonezyjskiej platformy e-commerce Tokopedia w sierpniu 2026 roku.

W poście na X Trezor napisał:

Aktualizacja dotycząca CryptoBilis Zostaliśmy poinformowani, w ramach odpowiedzialnego ujawniania luk, o pojedynczym implantcie sprzętowym w urządzeniu Trezor Safe 5 kupionym u resellera CryptoBilis w sierpniu 2026 roku. Żaden kupujący w CryptoBilis nie zgłosił nam utraty środków. WAŻNE: Jeśli kupiłeś Trezora w… pic.twitter.com/TiaKfHBnX2

— Trezor (@Trezor) 30 października 2026

Zgłoszenie opisuje dodatkową płytkę drukowaną zamontowaną między płytą główną urządzenia a jego ekranem, wyposażoną w moduł komórkowy i antenę. Zgodnie ze zgłoszeniem, którego Trezor — jak powiedział — nie zweryfikował, płytka odczytuje wszystko, co pojawia się na ekranie — w tym kopię zapasową portfela — i wysyła ją przez sieć komórkową za każdym razem, gdy urządzenie jest podłączone.

Manipulacja przeprowadzona po opuszczeniu urządzenia z fabryki, a przed dotarciem do kupującego jest powszechnie określana jako atak na łańcuch dostaw — to odmienny model zagrożenia dla portfeli sprzętowych, których bezpieczeństwo opiera się na tym, że urządzenie dociera nietknięte. Implant podobny do opisanego nie musiałby pokonywać żadnej kryptografii; wystarczyłoby mu przechwycenie tego, co samo urządzenie wyświetla.

Trezor nie otrzymał jeszcze urządzenia, ale powiedział, że traktuje zgłoszenie jako wiarygodne na podstawie opisu klienta i rozmowy wideo. „To, co widzieliśmy, wygląda na wystarczająco wyrafinowane, że zdecydowaliśmy się już teraz ostrzec klientów” — stwierdziła firma. „Czekanie na potwierdzenie laboratoryjne pozostawiłoby w międzyczasie kupujących w CryptoBilis bez ochrony.”

Żaden kupujący w CryptoBilis nie zgłosił Trezorowi utraty środków, poinformowała firma.

Portfele sprzętowe przechowują klucze prywatne użytkownika offline, natomiast fraza odzyskiwania — sekwencja słów generowana podczas konfiguracji urządzenia — może zostać użyta do przywrócenia dostępu do środków na nowym urządzeniu. Fraza jest najbardziej wrażliwym elementem całego zestawu: każdy, kto ją zdobędzie, może odtworzyć portfel na własnym urządzeniu i przejąć kontrolę nad środkami, a tej ekspozycji nie można cofnąć, gdy słowa zostały raz ujawnione.

Trezor wezwał wszystkich, którzy kupili jego portfele u CryptoBilis od marca 2026 roku, aby jak najszybciej przenieśli swoje środki do nowo utworzonego portfela z nową frazą odzyskiwania i nie używali starej frazy na żadnym urządzeniu. Kupujący, którzy jeszcze nie skonfigurowali urządzenia, nie powinni tego robić. Dotknięci klienci mogą zatrzymać urządzenie od CryptoBilis i skontaktować się z pomocą techniczną Trezora w celu wymiany.

Incydent z CryptoBilis

Trezor usunął CryptoBilis z grona resellerów 9 października, po tym jak konkurencyjny producent portfeli sprzętowych, Ledger, rozpoczął badanie strat wśród klientów, którzy kupili jego urządzenia u tego południowoazjatyckiego resellera. Od tego czasu Trezor sprawdził cztery swoje urządzenia kupione u CryptoBilis — Safe 7, dwa Safe 5 i Safe 3 — i nie znalazł śladów manipulacji.

Zespół bezpieczeństwa Donjon firmy Ledger znalazł implant w urządzeniach Ledger sprzedawanych przez CryptoBilis, który odczytuje 24-wyrazową frazę odzyskiwania z ekranu podczas konfiguracji i wysyła ją przez LTE. Według wpisu na blogu Trezora nowo zgłoszony implant „wygląda na działający podobnie”, choć firma dodała, że nie będzie porównywać spraw w toku dochodzeń i nie wie, kto stoi za tym działaniem.

Ledger powiedział, że wszystkie potwierdzone straty dotyczą urządzeń kupionych u CryptoBilis, i poprosił resellerów w siedmiu azjatyckich rynkach o wycofanie jego urządzeń. Jedną z największych ofiar był oszust, który stracił ponad 60 BTC, o wartości około 4,8 mln dolarów — według firmy analizującej blockchain, Chainalysis.

Dalszy przebieg sprawy zależy od dowodów fizycznych: po dotarciu urządzenia badanie laboratoryjne Trezora dostarczy pierwszej bezpośredniej weryfikacji zgłoszenia klienta, a dochodzenia obu producentów pozostają otwarte. Ostrzeżenie Trezora sięga marca 2026 roku — miesięcy przed zakupem zgłoszonego urządzenia — więc pełen zakres dotkniętych kupujących pozostaje nieznany.

Trezor musiał już wcześniej ostrzegać klientów w związku z awariami u partnerów. W sierpniu poinformował, że włamanie do firmy spedycyjnej ShipMonk ujawniło imiona i nazwiska, numery telefonów oraz adresy domowe prawie 14 000 klientów z USA — liczba ta wzrosła we wrześniu o kolejne 67 000.