Trezor расторгает договоры с авторизованными реселлерами после того, как Ledger обнаружил шпионский имплант в криптокошельках
Ключевые выводы
- •Trezor уведомила партнёров, что их авторизация в качестве реселлеров истекает 1 января 2027 года, и новых поставок от компании они не получат.
- •Команда безопасности Ledger Donjon обнаружила, что кошельки, проданные юго-восточноазиатским реселлером CryptoBilis, содержали несанкционированный компонент, который считывает экран, расшифровывает фразу восстановления и передаёт её по LTE через встроенную eSIM.
- •Имплант не изменяет чип хранения ключей и операционную систему, поэтому скомпрометированные кошельки выглядят и работают как обычно.
- •Ончейн-аналитик Specter проследил более 86 млн долларов подозрительных краж, связанных со схемой, — цифру, которую Ledger не проверял.
- •Trezor заявила, что нет никаких доказательств компрометации её устройств, и уже исключила CryptoBilis из списка продавцов.
Trezor сокращает свою сеть авторизованных реселлеров, уведомив партнеров, что их авторизация истечет 1 января 2027 года и что компания больше не будет поставлять им новые устройства. Решение принято спустя несколько дней после того, как конкурент — производитель аппаратных кошельков Ledger — начал расследование, в итоге подтвердившее наличие скрытого шпионского импланта в криптокошельках, продававшихся через сторонний магазин. Trezor заявляет, что эта мера направлена на усиление контроля над каналом дистрибуции после череды инцидентов с безопасностью цепочки поставок.
Компания объявила об этом решении в X во вторник, отметив, что «нет ни единого доказательства» компрометации какого-либо устройства Trezor. Сокращение сети было описано как превентивный шаг, предпринятый исключительно из осторожности.
«После недавних инцидентов с цепочкой поставок мы решили сократить количество реселлеров, чтобы более эффективно проверять тех, с кем работаем», — написала Trezor.
Что обнаружил Ledger
По данным команды безопасности Ledger Donjon, кошельки, проданные юго-восточноазиатским реселлером CryptoBilis, содержали несанкционированный компонент, который считывает экран устройства и расшифровывает фразу восстановления в момент её появления. Затем шпионский имплант передаёт эти слова по LTE — той же мобильной сети передачи данных, которую использует смартфон, — через eSIM, SIM-карту, встроенную в устройство.
По словам Ledger, имплант не изменяет чип, хранящий ключи, и операционную систему устройства, а значит, скомпрометированный кошелёк выглядит и работает как обычно. Ончейн-аналитик Specter проследил более 86 млн долларов подозрительныхраж, связанных с этой схемой, — цифру, которую Ledger, по его словам, не проверял.
Аппаратный кошелёк — это небольшое устройство, которое хранит секретные ключи от криптовалюты пользователя в офлайне, вдали от хакеров. При настройке генерируется фраза восстановления из 24 слов, выполняющая роль мастер-пароля: у кого есть эти слова, тот может опустошить кошелёк из любой точки мира. Поскольку одной фразы восстановления достаточно для восстановления кошелька на другом устройстве, её перехват даёт злоумышленнику полный доступ к средствам.
Письмо реселлерам
Директор по коммерческим вопросам Trezor Дэнни Сандерс опубликовал письмо, которое компания направила партнёрам, с которыми расстаётся.
«Если вы получили это письмо, ваша авторизация истекает 1 января 2027 года. В этот день мы удалим вас из нашего списка авторизованных реселлеров Trezor, — говорится в письме. — Мне жаль. Это решение ничего не говорит о ваших усилиях или о том, как вы представляли нас».
«Это превентивная мера для защиты нашей цепочки поставок и наших клиентов», — написал Сандерс. «Если ситуация изменится в будущем, мы пересмотрим решение».
Затронутые реселлеры не получат новых поставок, но смогут продолжать продавать оставшиеся запасы в течение «чёрной пятницы» и праздничного сезона. Сандерс отметил, что решение просто отражает количество партнёров, которых Trezor может самостоятельно тщательно проверять. Ни в посте, ни в письме не уточняется, сколько реселлеров затронуто.
Trezor сообщила, что рассматривала каждую страну отдельно, сопоставляя выручку и дистрибуцию с собственным присутствием на рынке. Оставшиеся реселлеры будут работать в рамках обновлённой правовой базы и по более строгим правилам закупки, хранения и обращения с устройствами. Изменения с 1 января 2027 года и обновлённые правила определят то, как покупатели смогут приобретать авторизованные устройства после распродажи оставшихся запасов у текущих реселлеров.
Ранее на этой неделе Trezor также сообщила в X, что CryptoBilis уже была исключена из списка продавцов и что от этого ритейлера не поступало сообщений о подделанных устройствах Trezor.
«Привет, не вскрывайте его. Силовое вскрытие корпуса может повредить устройство, а если это Safe 7, встроенная батарея делает это действительно рискованным. Если что-то в вашем устройстве вызывает опасения, свяжитесь с нами через и мы посмотрим. Мы активно расследуем…»
История проблем с цепочкой поставок
В мае 2022 Trezor предупредила, что на российской торговой площадке продавцом, не являвшимся авторизованным реселлером, продавались поддельные кошельки Model T. Устройства были вскрыты, переопечатаны и оснащены заменёнными внутренними компонентами, и, по словам Trezor, генерируемые ими фразы восстановления были предсказуемыми или заранее определёнными, то есть кто-то другой мог уже знать эти слова. Тогда Trezor советовала покупать устройства только в официальном магазине или у авторизованного реселлера — второй вариант теперь как раз сокращается.
Позднее, в августе, логистический партнёр ShipMonk раскрыл данные клиентов Trezor после несанкционированного доступа, и, по обновлению компании за сентябрь, число затронутых клиентов составило 80 689. Trezor утверждает, что её собственные системы, устройства, приватные ключи и резервные копии кошельков не пострадали.
Предупреждение Ledger покупателям
Ledger посоветовала всем, кто приобрёл устройство у CryptoBilis за последние 90 дней, не настраивать его, а тем, кто уже это сделал, — перевести средства на новую seed-фразу на устройстве, купленном напрямую у Ledger. И Ledger, и Trezor предупреждали покупателей против покупки аппаратных кошельков у несанкционированных продавцов.
