Producent portfeli sprzętowych Trezor wzywa klientów, którzy od marca 2026 roku kupowali jego urządzenia za pośrednictwem byłego autoryzowanego dystrybutora CryptoBilis, do przeniesienia kryptowalut do nowych portfeli, po tym jak kupujący zgłosił podejrzenie implantu sprzętowego w Trezorze Safe 5. W ogłoszeniu opublikowanym na oficjalnym blogu 30 października — zanim firma fizycznie zbadała urządzenie — Trezor oświadczył, że nie otrzymał zgłoszeń o kradzieży środków ani powiązanych stratach w kryptowalutach w związku z tą sprawą. Ostrzeżenie obejmuje wszystkie modele Trezor sprzedane przez CryptoBilis, nie tylko Safe 5.

Zgłoszenie od indonezyjskiego kupującego

Indonezyjski klient poinformował Trezor 28 października o Safe 5, modelu z aktualnej linii portfeli sprzętowych firmy, kupionym w sierpniu przez Tokopedię, indonezyjską platformę handlową. W chwili złożenia zamówienia CryptoBilis był jeszcze autoryzowanym sprzedawcą.

Trezor przejrzał zdjęcia urządzenia i przeprowadził z klientem rozmowę, ale nie testował samego urządzenia. „Urządzenia nie mamy jeszcze w naszym laboratorium” — powiedział dyrektor ds. komercyjnych Danny Sanders, dodając, że firma uznała relację za wiarygodną. Trezor odmówił podania dokładnych danych sprzedażowych dystrybutora.

Rzekomy implant mógł przechwytywać frazy odzyskiwania

Według zgłoszenia portfel zawiera dodatkową płytkę umieszczoną między głównym układem a ekranem. Moduł komórkowy i antena rzekomo mogły przesyłać zawartość wyświetlaną na ekranie, w tym słowa odzyskiwania, za każdym razem, gdy urządzenie jest zasilane.

Fraza odzyskiwania pozwala przywrócić portfel kryptowalutowy bez oryginalnego sprzętu. Trezor ostrzegł, że atakujący mogliby wykorzystać te słowa nawet wtedy, gdy klient później przejdzie na inne urządzenie. Portfele sprzętowe czerpią swoją ochronę z przechowywania fraz odzyskiwania offline — dlatego element, który rzekomo nadaje zawartość ekranu, podważyłby zabezpieczenie, jakie urządzenie ma zapewniać.

Obawy te pojawiają się po zgłoszeniach dotyczących naruszonych portfeli Ledger w Singapurze, gdzie policja odnotowała dwie sprawy ze łącznymi stratami wynoszącymi około 3,5 mln S$. Trezor nie powiązał tych spraw z urządzeniem zgłoszonym przez indonezyjskiego kupującego.

Wcześniejsze przypadki skłoniły do weryfikacji dystrybutora

Trezor usunął CryptoBilis z listy zatwierdzonych sprzedawców 9 października, po tym jak Ledger potwierdził fizyczne zmiany w urządzeniach sprzedawanych przez tego samego dystrybutora. Śledczy nie ustalili, kto zmodyfikował zgłoszony egzemplarz Trezora.

Firma zbadała cztery inne portfele zakupione przez CryptoBilis i nie znalazła śladów naruszeń. Osobno Keystone poinformował w tym tygodniu o wycieku danych wysyłkowych klientów, choć w tej sprawie nie doszło do ujawnienia fraz odzyskiwania portfeli.

Klienci zostali poproszeni o wymianę kopii zapasowych portfeli

Trezor doradził dotkniętym kupującym utworzenie nowych portfeli z nowymi frazami odzyskiwania i przeniesienie na nie posiadanych aktywów. Przywrócenie starej frazy odzyskiwania na innym sprzęcie nie rozwiązałoby wcześniejszej ekspozycji.

Firma ostrzegła także klientów przed fałszywymi komunikatami bezpieczeństwa. Ostatnio klienci Foundation Passport otrzymali e-maile phishingowe zawierające osobiste szczegóły zakupu; ten odrębny incydent dotyczył wprowadzających w błąd e-maili, a nie potwierdzonych naruszeń sprzętu.

Klienci, którzy nie aktywowali swoich urządzeń, powinni pozostawić ich nieużywanie. Trezor oferuje uprawnionym kupującym portfele zamienne lub vouchery za pośrednictwem zespołu wsparcia i zapewnia, że pracownicy wsparcia nigdy nie proszą o frazy odzyskiwania. Skoro zgłoszony egzemplarz nie został jeszcze zbadany według stanu na ogłoszenie z 30 października, wyniki badań laboratoryjnych Trezora są najbliższą otwartą kwestią w tej sprawie.