Производитель аппаратных кошельков Trezor предупредил покупателей, приобретших его устройства у реселлера CryptoBilis, о необходимости перевести средства после того, как один из покупателей сообщил об обнаружении аппаратного импланта внутри Trezor Safe 5, сообщила компания в пятницу.

Trezor заявил, что получил заслуживающее доверия сообщение об импланте в Safe 5, приобретенном у CryptoBilis в августе 2026 года, хотя само устройство пока не изучено. Как утверждается, имплант считывает резервную копию кошелька с экрана и передает ее через мобильную сеть — такое поведение, по словам компании, похоже на случай с Ledger.

Клиент из Индонезии сообщил об импланте через программу ответственного раскрытия информации Trezor 28 октября, согласно публикации в блоге компании. Safe 5 был куплен у CryptoBilis через индонезийскую торговую платформу Tokopedia в августе 2026 года.

В посте в X Trezor сообщил:

CryptoBilis update We've been made aware, through responsible disclosure, of a single hardware implant in a Trezor Safe 5 device bought from the reseller CryptoBilis in August 2026. No CryptoBilis buyer has reported a loss of funds to us. IMPORTANT: If you bought a Trezor from… pic.twitter.com/TiaKfHBnX2

— Trezor (@Trezor) October 30, 2026

Согласно сообщению, речь идет о дополнительной печатной плате, установленной между основной платой устройства и его экраном, с сотовым модулем и антенной. Trezor отметил, что не проверял это сообщение, однако, согласно ему, плата считывает все, что отображается на экране, — включая резервную копию кошелька — и отправляет данные через мобильную сеть при каждом подключении устройства.

Вмешательство, осуществленное после схода устройства с завода, но до его попадания к покупателю, принято называть атакой на цепочку поставок — это отдельная модель угроз для аппаратных кошельков, безопасность которых основана на том, что устройство приходит нетронутым. Подобному импланту не пришлось бы взламывать никакую криптографию — достаточно было бы фиксировать то, что само устройство выводит на экран.

Trezor пока не получил устройство, но, по его словам, считает сообщение заслуживающим доверия на основании описания клиента и видеоинтервью. «То, что мы увидели, выглядит достаточно изощренно, поэтому мы решили предупредить клиентов уже сейчас», — заявила компания. «Ожидание лабораторного подтверждения оставило бы покупателей CryptoBilis беззащитными в это время».

По словам компании, ни один покупатель CryptoBilis не сообщил Trezor о потере средств.

Аппаратные кошельки хранят приватные ключи пользователя в офлайне, а фраза восстановления — последовательность слов, сгенерированная при настройке устройства, — позволяет восстановить доступ к средствам на новом устройстве. Эта фраза является самым чувствительным элементом всей системы: любой, кто ее получит, может воссоздать кошелек на собственном устройстве и получить контроль над средствами, и после того, как слова были увидены, эту утечку невозможно отменить.

Trezor призвал всех, кто приобрел его кошельки у CryptoBilis с марта 2026 года, как можно скорее перевести средства на вновь созданный кошелек с новой фразой восстановления и не использовать старую фразу на каком-либо устройстве. Покупателям, которые еще не настроили свое устройство, не следует этого делать. Затронутые клиенты могут оставить себе устройство, приобретенное у CryptoBilis, и обратиться в службу поддержки Trezor за заменой.

Инцидент с CryptoBilis

Trezor исключил CryptoBilis из числа реселлеров 9 октября после того, как конкурент — производитель аппаратных кошельков Ledger — начал расследование потерь среди клиентов, купивших его устройства у этого юго-восточноазиатского реселлера. С тех пор Trezor проверил четыре своих устройства, купленных у CryptoBilis — Safe 7, два Safe 5 и Safe 3 — и не обнаружил следов вмешательства.

Команда безопасности Donjon компании Ledger обнаружила имплант в устройствах Ledger, проданных через CryptoBilis, который считывает 24-словную фразу восстановления с экрана во время настройки и отправляет ее по LTE. В блоге Trezor говорится, что имплант из нового сообщения «по-видимому, работает аналогично», хотя компания добавила, что не будет проводить сравнений, пока идет расследование, и не знает, кто за ним стоит.

Ledger сообщил, что все подтвержденные потери связаны с устройствами, купленными у CryptoBilis, и попросил реселлеров на семи азиатских рынках изъять его устройства из продажи. Одной из крупнейших жертв стал мошенник, потерявший более 60 BTC на сумму около 4,8 млн долларов, по данным блокчейн-аналитической компании Chainalysis.

Дальнейшее развитие событий зависит от вещественных доказательств: когда устройство прибудет, лабораторное исследование Trezor даст первое прямое подтверждение сообщения клиента, а расследования обеих компаний продолжаются. Предупреждение Trezor распространяется на покупки с марта 2026 года — за месяцы до приобретения устройства из сообщения, поэтому полный круг затронутых покупателей остается неопределенным.

Trezor и раньше приходилось предупреждать клиентов о сбоях у партнеров. В августе компания сообщила, что в результате утечки у логистического провайдера ShipMonk стали известны имена, номера телефонов и домашние адреса почти 14 000 клиентов из США — в сентябре эта цифра выросла еще на 67 000.