Производитель аппаратных кошельков Trezor заблаговременно предупредил клиентов, купивших устройства у реселлера CryptoBilis: сообщение об аппаратной закладке внутри Trezor Safe 5 достаточно убедительно, чтобы действовать ещё до завершения лабораторной проверки. Согласно раскрытию информации Trezor, всем, кто приобрёл Trezor у CryptoBilis с марта 2026 года, следует перевести средства с устройства в кошелёк, созданный с использованием новой сид-фразы.

Компания выступила с заявлением 30 октября 2026 года. Её команда безопасности получила сообщение 28 октября. В нём утверждается, что аппаратная закладка была вживлена в Trezor Safe 5, который покупатель приобрёл у CryptoBilis в августе 2026 года через индонезийскую торговую площадку Tokopedia. Trezor ещё не исследовал устройство физически, но считает рассказ клиента, подтверждённый видеоинтервью, заслуживающим доверия. Компания предпочла предупредить покупателей сейчас, а не ждать лабораторного подтверждения. Пока ни один клиент CryptoBilis не сообщил Trezor о потере средств.

Что утверждается в сообщении о закладке

В раскрытии Trezor описывается дополнительная печатная плата, размещённая между основной платой Safe 5 и его экраном. На плате находятся сотовый модуль и антенна. Согласно сообщению, предполагаемая закладка считывает всё, что отображается на экране, включая резервную копию кошелька, и передаёт эти данные через мобильную сеть после подключения устройства. Речь идёт о сид-фразе — последовательности слов, генерируемой при настройке аппаратного кошелька, которой одной достаточно, чтобы воссоздать кошелёк и расходовать средства с него на другом устройстве. Если описание верно, такая закладка открывает доступ к единственному элементу, полностью контролирующему кошелёк.

Trezor отметил, что конструкция напоминает закладки, обнаруженные в устройствах Ledger, проданных тем же реселлером, но добавил, что не будет подтверждать эту связь, пока идёт расследование.

Сообщение было подано через программу ответственного раскрытия уязвимостей Trezor клиентом из Индонезии. Этот клиент уже перевёл средства с устройства до обнаружения закладки. Trezor поблагодарил заявителя и SEAL 911 — службу экстренного реагирования Security Alliance; обе стороны помогли в рассмотрении дела и в поддержке затронутых покупателей.

Почему в зону риска попадают все покупатели CryptoBilis

CryptoBilis был официальным реселлером Trezor в Юго-Восточной Азии до октября 2026 года. 9 октября Ledger начала расследование потерь средств среди клиентов, купивших устройства у этого реселлера, а позднее сообщила, что некоторые устройства были физически изменены. Поскольку CryptoBilis также продавал продукцию Trezor, компания в тот же день прекратила сотрудничество с реселлером и начала проверку устройств клиентов.

По словам Trezor, сообщение от 28 октября — первое, в котором предполагается возможная закладка в одном из его собственных устройств из этого канала продаж. Компания уточнила, что её рекомендации охватывают все модели Trezor, приобретённые у CryptoBilis, а не только Safe 5, упомянутый в сообщении. Сообщений с участием других реселлеров не поступало.

Этот случай показывает, что обещание безопасности герметичного аппаратного кошелька по-прежнему зависит от того, кто обращался с устройством до того, как оно попало к покупателю. Остаётся два открытых вопроса: подтвердит ли лабораторная проверка указанного Safe 5 рассказ клиента, и к каким выводам придут продолжающиеся расследования по поводу закладок в устройствах Ledger, проданных через тот же канал.

Что следует делать затронутым покупателям

Trezor рекомендовал всем, кто приобрёл Trezor у CryptoBilis с марта 2026 года и хранит средства на устройстве, как можно скорее перевести их в новый кошелёк с новой сид-фразой. Восстановление старой резервной копии на другом устройстве не устраняет риск, так как сид-фраза могла быть уже скомпрометирована на изменённом устройстве. Покупатели, у которых нет второго защищённого аппаратного кошелька, могут временно разместить средства в программном кошельке или на уже вызывающей доверие бирже, предварительно проверив полный адрес получателя перед отправкой.

Компания также поручила покупателям не настраивать нераспечатанные устройства из этого канала и никогда не вводить на них существующие резервные копии кошельков. Trezor подчеркнул, что его служба поддержки никогда не запрашивает резервную фразу. Кроме того, компания предупредила, что мошенники, вероятно, воспользуются новостью для фишинга: поддельные электронные письма, письма и телефонные звонки уже представляют риск.

Затронутые покупатели CryptoBilis по-прежнему могут получить новый Trezor с прямой доставкой или ваучер на замену. Им следует сохранить устройство, приобретённое у CryptoBilis, и обратиться в службу поддержки.