Trezor предупреди, че предполагаем хардуерен имплант в Trezor Safe 5 може да открадне фрази за възстановяване и да ги изпрати през мобилна мрежа. Предупреждението обхваща всеки модел на Trezor, закупен от CryptoBilis от март 2026 г. нататък, въпреки че е докладвано само за едно подозрително устройство.

В своето известие за сигурност от 30 октомври Trezor призова засегнатите потребители да прехвърлят средствата си в новосъздаден портфейл с нова базова фраза (seed). Компанията не е изследвала устройството и не е получила сигнали за откраднати средства от купувачи на CryptoBilis.

Крайният срок от март е превантивен обхват за действия от страна на клиентите, а не доказателство, че всяко устройство, продадено оттогава, е било модифицирано. Потвърденият мащаб и функциониране на предполагаемия имплант в Trezor подлежат на лабораторно изследване.

Предполагаемият имплант е насочен към екрана на портфейла

Сигналът е подаден от клиент в Индонезия, който е закупил Safe 5 чрез CryptoBilis в платформата Tokopedia през август 2026 г. Trezor е получил информацията на 28 октомври, прегледал е снимки и е интервюирал клиента чрез видеовръзка. Устройството се изпраща в лабораторията за сигурност на компанията.

Според доклада допълнителна печатна платка е разположена между основната платка на портфейла и екрана. Тя съдържа клетъчен модул и антена. Твърди се, че добавеният хардуер чете информацията, показвана на дисплея, включително резервното копие на портфейла, и я изпраща през мобилна мрежа, докато устройството е включено в захранването.

Това би превърнало връзката с екрана във възможна точка за кражба. Вместо да се налага да пробива основната защита на портфейла, атакуващият може да прихване думите за възстановяване, когато те се появят по време на първоначалната настройка. Това остава докладван метод, а не констатация, потвърдена чрез собствени тестове на Trezor.

Открадната фраза за възстановяване може да позволи на някого да възстанови портфейла на друго място и да поеме контрол над средствата в него. Cybersecurity News също е отразявал фалшиви екрани за крипто портфейли, които търсят същата тайна чрез фалшиви подкани за възстановяване. Предполагаемият имплант би се насочил към показваната информация, вместо да разчита на това потребителят да въведе думите във фалшив софтуер.

Предупреждението следва отделно разследване, включващо портфейли Ledger, доставени от CryptoBilis. Според Trezor, Ledger е започнал да разследва загуби на клиентски средства на 9 октомври и по-късно е потвърдил физическа намеса в някои устройства.

Cybersecurity News по-рано съобщи за потвърждението от страна на Ledger за неоторизиран хардуерен имплант в устройство от CryptoBilis. Trezor премахна CryptoBilis от своята мрежа от оторизирани дистрибутори на 9 октомври и започна проверка на клиентските устройства.

Въпреки общия дистрибутор, Trezor не е идентифицирал атакуващите и не е потвърдил, че една и съща група се е насочила към двете марки. Компанията работи с Ledger и други страни, разследващи инцидента. Trezor също така отчете заслугите на SEAL 911, службата за спешно реагиране на Security Alliance, за помощта при доклада и планирането на поддръжката за клиенти.

Клиентът, който е съобщил за предполагаемия имплант в Trezor, вече е бил преместил средствата си, преди да го открие. От Trezor казват, че не са получавали сигнали, включващи други дистрибутори. Предупреждението на компанията обхваща и магазини, продаващи устройства, доставени от CryptoBilis, а не само покупки, направени директно от дистрибутора.

Какво трябва да направят засегнатите собственици на Trezor

От Trezor посочват, че преместването на съществуващото резервно копие на портфейла на друго устройство не отстранява риска. Потребителите се нуждаят от нов портфейл с новогенерирана базова фраза (seed), след което трябва да прехвърлят средствата си в него. Всеки, който не е настроил засегнато устройство, трябва да го остави неизползвано и никога да не въвежда съществуваща фраза за възстановяване.

Ако друг сигурен хардуерен портфейл не е наличен, Trezor препоръчва временно използване на софтуерен портфейл или позната борса. Ръководството за изпращане на компанията обяснява процеса на прехвърляне. Потребителите трябва внимателно да проверят пълния адрес за получаване, преди да изпратят средства.

Клиентите не трябва да разчитат на претегляне или отваряне на своите устройства, за да изключат вероятността от физическа намеса. Trezor казва, че разликите в теглото могат да имат други причини и няма надежден метод за проверка в домашни условия.

Отговарящите на условията купувачи от CryptoBilis могат да се свържат с официалната поддръжка на Trezor за директна доставка на замяна или ваучер, покриващ ново устройство. Те трябва да запазят оригиналния портфейл. Trezor също така предупреждава, че измамници могат да се възползват от инцидента чрез фалшиви имейли, писма или обаждания. Екипът за поддръжка никога няма да поиска фраза за възстановяване.