Производитель аппаратных кошельков Trezor призывает покупателей, приобретавших его устройства у бывшего авторизованного реселлера CryptoBilis с марта, перевести свои средства — это следует из сообщения о подозрительной закладке в Trezor Safe 5.

Trezor сообщил об этом в пятницу в официальном блоге, а предупреждение также было опубликовано в X. Согласно сообщению, клиент из Индонезии обнаружил несанкционированную печатную плату внутри Safe 5, купленного в августе на маркетплейсе Tokopedia. Подозрительная закладка могла считывать информацию, отображаемую на экране устройства, включая recovery-фразы кошелька, и передавать её через сотовую сеть. Аппаратные кошельки предназначены для хранения recovery-фраз в офлайн-режиме, поэтому устройство, подозреваемое в утечке отображаемых данных, подрывает саму основу модели безопасности продукта.

Trezor заявил, что ещё не исследовал устройство и не получал сообщений о связанных потерях средств.

«У нас ещё не было этого устройства в нашей лаборатории, но мы относимся к сообщению как к заслуживающему доверия, и мы предпочли бы предупредить людей сейчас, чем ждать подтверждения и потом узнать, что кто-то тем временем потерял свои средства», — рассказал Cointelegraph коммерческий директор Trezor Дэнни Сандерс.

Представитель компании описал продажи через CryptoBilis как «очень небольшие», но отказался назвать цифры. Он также добавил, что Trezor не установил, где именно произошла предполагаемая подмена, и пересматривает свои аппаратные меры защиты, признавая, что существующие меры предосторожности, включая пломбы и упаковку, сами по себе недостаточны. На практике перевод средств подразумевает создание нового кошелька с новой recovery-фразой на устройстве, полученном через надёжный канал, и отказ от любой фразы, которая могла отображаться на подозрительном устройстве.

Подмены Ledger и прежние предупреждения Trezor

Предупреждение последовало за сообщениями о потерях криптовалюты с участием кошельков Ledger, проданных через CryptoBilis, которые появились 9 октября. Ledger подтвердил наличие несанкционированной аппаратной закладки в одном из устройств.

Исследователь безопасности Джо Гранд ранее сообщал Cointelegraph, что в августе предупредил Trezor о подменённых кошельках Trezor One и Model T, купленных у неавторизованных продавцов на TikTok и Facebook. Trezor пояснил, что его прежнее заявление об отсутствии признаков компрометации устройств касалось только новых кошельков, проданных через авторизованных реселлеров, добавив, что проверки при настройке были направлены на выявление поддельных устройств и изменённой прошивки — тогда как закладка, обнаруженная в Ledger, проданном через CryptoBilis, считывала экран, не изменяя прошивку.

Украденная recovery-фраза может позволить злоумышленнику восстановить кошелёк на другом устройстве и перевести его средства.

13 октября Trezor объявил о планах сократить свою реселлерскую сеть.

Related: Подменённые кошельки Ledger обошлись пользователям из Сингапура в $2,7 млн, сообщает полиция

Источник: Cointelegraph