Производитель аппаратных кошельков Trezor сократил свою сеть авторизованных реселлеров примерно на 80% после обнаружения вредоносных аппаратных имплантов в трех криптокошельках Safe 5. Параллельно с реструктуризацией компания выпустила обновление прошивки, призванное помешать имплантам перехватывать конфиденциальную информацию кошелька.

В обновлении расследования, опубликованном 12 ноября 2026 года, Trezor подтвердил, что все три скомпрометированных устройства происходят от CryptoBilis — бывшего реселлера в Юго-Восточной Азии. Хотя ни один клиент не сообщил о потере криптовалюты, компания по-прежнему рекомендует переводить средства во вновь созданные кошельки. Свои выводы Trezor изложил в официальном обновлении расследования.

Подтверждены три скомпрометированных кошелька

Импланты были обнаружены в устройствах Safe 5, приобретенных с 20 августа по 23 сентября 2026 года — либо напрямую у CryptoBilis, либо через ее витрины на маркетплейсах Tokopedia и Shopee. Trezor физически исследовал один скомпрометированный кошелек в своей лаборатории, а два оставшихся импланта идентифицировал по фотографиям, предоставленным клиентами.

После того как Trezor выпустил первоначальное предупреждение в октябре, 48 клиентов CryptoBilis обратились в компанию за помощью. Следов вмешательства в устройствах, приобретенных у других реселлеров, или в других моделях Trezor обнаружено не было, однако расследование продолжается.

Как импланты похищают данные кошелька

Вредоносный компонент представляет собой дополнительную печатную плату, установленную между основной платой Safe 5 и его дисплеем. Она скрытно перехватывает информацию, отображаемую на экране, включая фразы восстановления и парольные фразы кошелька, а затем шифрует похищенные данные и передает их через мобильную сеть на контролируемый злоумышленниками сервер. Если связь отсутствует, имплант сохраняет данные и повторяет попытку передачи позже.

Фраза восстановления — это мастер-резервная копия аппаратного кошелька: она позволяет воссоздать ключи кошелька на любом совместимом устройстве, а значит, ее перехват равнозначен получению контроля над защищаемыми средствами, даже если само устройство больше никогда не используется.

Примечательно, что имплант не изменяет исходную прошивку кошелька или Secure Element, то есть основные компоненты безопасности устройства остаются нетронутыми — деталь, которая делает атаку особенно тревожной, поскольку модификация действует за пределами криптографического ядра, защищаемого этими компонентами, собирая то, что отображается на экране, а не изменяя внутреннюю работу кошелька.

Исправление прошивки и более жесткий контроль цепочки поставок

11 ноября Trezor выпустил прошивку версии 2.13.1, чтобы заблокировать выявленным имплантам возможность перехвата дополнительной информации. Поскольку обновление не может защитить фразы восстановления, которые злоумышленники могли уже получить, компания советует клиентам CryptoBilis перевести свою криптовалюту в новые кошельки с вновь сгенерированными фразами восстановления. Эти две меры устраняют разные риски: патч прошивки прекращает дальнейший перехват после установки, а новый кошелек защищает средства, если фраза восстановления уже была скомпрометирована. Клиенты, приобретавшие устройства Trezor у CryptoBilis с марта 2026 года, также имеют право на замену.

Одновременно Trezor удалил примерно четыре пятых своей сети реселлеров и ввел более строгие требования к закупке, хранению и обращению с устройствами. Компания подчеркнула, что исключенные партнеры не обязательно представляли угрозу безопасности; реструктуризация направлена на укрепление защиты цепочки поставок и снижение возможностей для будущих аппаратных вмешательств. Для покупателей этот случай — напоминание о том, что безопасность аппаратного кошелька зависит не только от его криптографии, но и от физического пути, который устройство проходит от завода до покупателя, — пути, который при прохождении через сторонних продавцов и витрины маркетплейсов находится вне прямого контроля производителя.