Производитель аппаратных кошельков Trezor сообщил, что значительно сократит число авторизованных реселлеров, которым разрешено продавать его устройства: исключения из авторизованного списка вступят в силу 1 января 2027 года. Компания охарактеризовала решение как «превентивный шаг, предпринятый из соображений максимальной осторожности» в ответ на недавние инциденты в цепочке поставок в индустрии аппаратных кошельков. Авторизованные реселлеры — это сторонние ритейлеры, официально одобренные производителем для продажи его устройств.

Анонс появился во вторник в публикации на X, где Trezor заявил, что существует «ни единого доказательства» того, что его устройства были скомпрометированы.

Following recent supply-chain incidents, we decided to reduce the number of resellers so we can more effectively check those we work with. Let us be very clear: there is not a single piece of evidence that Trezor devices have been compromised. This is a preventive step, taken…

— Trezor (@Trezor) October 13, 2026

Коммерческий директор Дэнни Сандерс сообщил, что некоторые реселлеры уже уведомлены об исключении из авторизованного списка 1 января 2027 года. Он добавил, что поставки этим реселлерам прекратятся во вторник.

Trezor также опубликовал письмо, направленное избранным партнерам, в котором отметил, что аппаратный кошелек «безопасен ровно настолько, насколько безопасен путь, которым он добирается до владельца». Согласно письму, компания хочет, чтобы сеть реселлеров была достаточно компактной для проверки каждого оставшегося партнера. Те, кто останется в программе, столкнутся с обновленной юридической базой и более тщательным контролем закупки, хранения и обращения с устройствами.

To the resellers who helped build Trezor: thank you, and I'm sorry 💔 pic.twitter.com/RK7KBJOshp

— Danny (@Dantoshi) October 13, 2026

Что произошло с Ledger

Решение последовало через несколько дней после того, как Ledger подтвердил, что как минимум одно из его устройств, приобретенных у реселлера из Юго-Восточной Азии, содержало несанкционированный аппаратный имплант. Речь идет о реселлере CryptoBilis.

По имеющимся данным, импланты были впаяны в устройства. Они перехватывали фразы восстановления пользователей и передавали их через сотовые сети. Фраза восстановления — это мастер-резервная копия кошелька с самостоятельным хранением: последовательность слов, из которой можно заново сгенерировать все приватные ключи кошелька, поэтому любой, кто ее получит, может забрать средства, даже не касаясь самого устройства. Этот случай также показывает, как работает атака на цепочку поставок: компрометация происходит между заводом и покупателем, в физическом канале дистрибуции, а не в программном обеспечении.

Об инциденте стало известно 9 октября 2026 года, когда выяснилось, что злоумышленники, как утверждается, внесли изменения в устройства, проданные через стороннего реселлера.

CryptoBilis также является авторизованным реселлером Trezor. На время расследования он приостановил все продажи аппаратных кошельков.

Отдельно материнская компания MediaMarkt сообщила, что удалила все продукты Ledger из физических магазинов и онлайн-платформ, назвав этот шаг мерой предосторожности.

Сколько было потеряно

Блокчейн-исследователи продолжают оценивать общий объем потерь. Исследование двух специалистов показало убытки от 72 до 86 млн долларов, тогда как другие источники оценивают общую сумму в 93 млн долларов.

Во вторник Ledger заявил, что не подтверждял ни общее число затронутых пользователей, ни общий объем потерянных средств.

Реакция Trezor

Представитель Trezor сообщил Cointelegraph, что проверки при настройке устройств компании рассчитаны на выявление подделок и модифицированной прошивки. Обнаруженный в устройстве CryptoBilis имплант работает иначе, отметил представитель.

По его словам, имплант не изменяет прошивку устройства. Вместо этого он считывает информацию, отображаемую на экране, и позднее отправляет ее злоумышленнику. Такое поведение выходит за рамки модели безопасности, на которой строятся аппаратные кошельки, — предположения, что секреты устройства никогда не покидают само оборудование. Trezor заявил, что в реальных условиях не наблюдал атак такого типа на своих устройствах.

Компания призвала пользователей покупать устройства напрямую у Trezor и проверять целостность пломбы. Также рекомендовано использовать мультисигнатурный кошелек с устройствами разных производителей, чтобы одно скомпрометированное устройство не могло перемещать средства самостоятельно.

Сложный год для аппаратных кошельков

По сообщениям, компании — производители аппаратных кошельков столкнулись в этом году почти с дюжиной инцидентов, включая утечки данных, раскрытия об атаках методом лазерного впрыска сбоев и ошибку энтропии в прошивке. Лазерный впрыск сбоев — это физическая техника, при которой сфокусированный свет вызывает ошибки в чипе и потенциально позволяет обойти проверки безопасности, а ошибка энтропии означает слабость случайности, от которой зависит генерация криптографических ключей.

В августе инцидент случился и у Trezor: утечка данных у стороннего провайдера выполнения заказов раскрыла личную информациюков тысяч клиентов.

Последнее обновление: исключения реселлеров Trezor вступят в силу 1 января 2027 года, менее чем через три месяца после анонса. Следователи продолжают работу над определением полного масштаба потерь, связанных с инцидентом Ledger.