Команда Trezor сообщила о возможном вредоносном модуле внутри устройства Safe 5, которое купили у реселлера CryptoBilis. Ранее через того же продавца распространялись модифицированные кошельки Ledger.
CryptoBilis update We’ve been made aware, through responsible disclosure, of a single hardware implant in a Trezor Safe 5 device bought from the reseller CryptoBilis in August 2026. No CryptoBilis buyer has reported a loss of funds to us. IMPORTANT: If you bought a Trezor from CryptoBilis from March 2026 onwards, we know this is unsettling. Here’s what to do: Already using it? Move your funds to a newly created wallet with a new seed as soon as possible. Do not reuse the old seed in any wallet, hardware or software. If you don’t have another secure hardware wallet available, we recommend temporarily migrating your funds to a software wallet or an exchange you are familiar with. Not set up yet? Don’t set it up, and never enter your existing wallet backup on it. We haven’t received the device to confirm this report, but based on the customer’s description, we’re treating it as credible and sharing it now so customers who purchased a Trezor via CryptoBilis can secure their funds as a precaution. Our security team will examine the device as soon as it arrives. On October 9, 2026, we removed CryptoBilis as a reseller following reports of tampered Ledger devices sold through it. Since then, we have been inspecting Trezor devices that customers bought from CryptoBilis and have found no signs of tampering on any of the four devices we’ve received so far. NEVER share your wallet backup (recovery phrase) with anyone. Trezor Support will never ask for it. If you are affected by this incident, please keep your CryptoBilis device and contact Support to receive a new Trezor hardware wallet: https://t.co/5EasOVDDQh We’re investigating and will post updates here as soon as we know more. Thank you to the customer who reported this through our responsible disclosure program, and to @SEAL_911 for working alongside our teams on the response. Reports and engagement like this help us protect everyone else. For more information, visit our blog: https://t.co/2LmFV8L2oe
— Trezor (@Trezor) October 30, 2026
28 октября команда безопасности Trezor получила сообщение от пользователя из Индонезии. Он купил кошелек в августе через маркетплейс Tokopedia.
По словам владельца, внутри устройства находилась дополнительная печатная плата, установленная между основным модулем и экраном. На ней были сотовый модем и антенна.
Предположительно, имплант мог считывать отображаемую информацию, включая сид-фразу для восстановления доступа к активам. Затем он передавал ее злоумышленникам через мобильную сеть при подключении кошелька к питанию.
Trezor пока не получила само устройство. Однако по описанию клиента и итогам видеоинтервью с ним компания сочла сообщение достоверным и решила предупредить покупателей до лабораторной проверки.
В Trezor подчеркнули, что пока не зафиксировали потерь средств среди покупателей устройств у CryptoBilis. Рассказавший о предполагаемом импланте пользователь перевел активы еще до его обнаружения.
Покупателям рекомендовали перевести средства
9 октября Trezor исключила CryptoBilis из списка авторизованных реселлеров после сообщений о продаже модифицированных устройств Ledger. Тогда же фирма начала проверять кошельки, приобретенные через этого поставщика.
В четырех полученных на экспертизу экземплярах следов вмешательства не нашли.
Всем, кто купил Trezor у CryptoBilis с марта 2026 года, рекомендовали как можно скорее перевести средства на новый кошелек с новой сид-фразой. Восстановление старой фразы на другом устройстве не устранит угрозу. Неактивированные кошельки от этого поставщика посоветовали не настраивать.
Разработчики призвали не вскрывать или взвешивать устройства для проверки, поскольку ни один из этих способов не даст надежного результата. Заявитель заметил разницу в весе, но у нее могут быть и другие причины, считают они.
Trezor ведет расследование вместе с Ledger и другими специалистами. Компанию консультировала экстренная служба SEAL 911 от Security Alliance. Сообщений о подобных устройствах у других реселлеров на момент написания не поступало.
Связь с атаками на Ledger
10 октября Ledger подтвердил наличие имплантов в устройствах, проданных через CryptoBilis в Юго-Восточной Азии.
Согласно исследованию команды Ledger Donjon, вредоносный компонент считывал с экрана 24 слова фразы восстановления при первоначальной настройке кошелька. Затем он отправлял их через мобильную сеть LTE с помощью встроенной eSIM.
Получив сид-фразу, злоумышленники могли восстановить доступ к криптовалюте без физического взаимодействия с оригинальным устройством. При этом защищенный чип Secure Element и операционная система Ledger оставались неизменными.
По оценке аналитической компании Bitquery, связанные с инцидентом хищения достигли $93,2 млн. Производитель эту сумму не подтвердил. В Chainalysis заявили, что одним из крупнейших пострадавших стал сам скамер, который предположительно потерял 60 BTC (около $4,8 млн).
В Trezor не знают, кто стоит за имплантом. До завершения расследований команда отказалась сравнивать этот случай с инцидентом Ledger.
Напомним, в середине октября бывший глава Mt. Gox Марк Карпелес обнаружил шпионский имплант в аппаратном кошельке Ledger Nano X, купленном в немецком магазине MediaMarkt.