- Производитель получил сообщение о возможном вмешательстве в аппаратную часть Trezor Safe 5, приобретенного в августе 2026 года.
- Имплант мог считывать данные с экрана, в частности seed-фразу, и передавать их через мобильную сеть.
- Trezor призвала покупателей CryptoBilis с марта 2026 года перевести средства на новый кошелек и пообещала заменить устройства.
Команда безопасности Trezor получила сообщение о возможном аппаратном импланте в криптокошельке Trezor Safe 5, приобретенном через продавца CryptoBilis в августе. Устройство купили в Индонезии на маркетплейсе Tokopedia.
Производитель пока не проверил его в собственной лаборатории, однако считает сообщение достоверным и призвал всех клиентов CryptoBilis, которые приобрели кошельки с марта 2026 года, срочно перевести активы на новый кошелек с новой seed-фразой.
В Trezor отметили, что подозреваемый имплант может работать по принципу, похожему на те, которые ранее обнаружили в устройствах Ledger. В то же время компания подчеркнула, что на данный момент не имеет подтверждений кражи средств у покупателей CryptoBilis.
Что известно о возможном импланте и связи с Ledger
По описанию заявителя, внутри Trezor Safe 5 установили дополнительную плату между основной платой устройства и экраном. Она содержит модуль сотовой связи и антенну. Как утверждает автор сообщения, имплант считывает информацию, отображаемую на экране, в частности резервную копию кошелька, и передает ее через мобильную сеть каждый раз, когда устройство подключают к питанию.
О подозрительном устройстве команде Trezor сообщил пользователь из Индонезии в рамках программы ответственного раскрытия уязвимостей. Компания получила фотографии, чек и провела с ним видеоинтервью. По словам производителя, увиденное выглядит достаточно серьезно, чтобы предупредить клиентов до завершения лабораторной проверки.
«Мы еще не получили устройство, чтобы подтвердить это сообщение, но на основании описания клиента и видеоинтервью считаем его достоверным», — заявили в Trezor.
Инцидент связан с расследованием атаки на цепочку поставок аппаратных кошельков CryptoBilis. 9 октября 2026 года Ledger начала проверять сообщения о потере средств у клиентов, которые приобрели устройства через этого продавца. Позже компания подтвердила наличие несанкционированного аппаратного импланта как минимум в одном кошельке.
13 октября команда Ledger Donjon опубликовала технические подробности: обнаруженный компонент мог считывать с экрана информацию и передавать seed-фразу через LTE. После начала расследования Trezor также попросил CryptoBilis прекратить продажу своих устройств. Продавец выполнил это требование.
С 19 октября Trezor получил для проверки четыре возвращенных устройства — один Safe 7, два Safe 5 и один Safe 3. В них команда не обнаружила признаков вмешательства. В то же время производитель не исключает, что другие устройства могли быть скомпрометированы.
В Trezor заявили, что не знают, кто стоит за атакой, и пока не делают выводов о связи между имплантами в устройствах Ledger и Trezor. Компания сотрудничает с Ledger и другими участниками расследования. Также к реагированию на инцидент привлекли SEAL 911 — службу экстренной помощи Security Alliance для расследования инцидентов в сфере криптобезопасности.
Как защитить средства и что предлагает Trezor пострадавшим
Производитель призвал всех, кто приобрел любую модель Trezor через CryptoBilis с марта 2026 года, принять меры предосторожности. Рекомендации зависят от того, настроено ли устройство:
- если кошелек уже используется: нужно как можно быстрее перевести средства на новый кошелек с новой seed-фразой. Восстановление старой резервной копии на другом устройстве не устраняет риск, если ее уже могли перехватить;
- если нового аппаратного кошелька нет: Trezor советует временно перевести активы на программный кошелек или биржу, которым пользователь доверяет;
- если устройство еще не настроено: не следует его активировать или вводить на нем резервную копию имеющегося кошелька.
В компании отдельно предостерегли от фишинговых атак, которые могут активизироваться после огласки инцидента. Мошенники могут отправлять поддельные электронные письма, физические сообщения или звонить, выдавая себя за представителей Trezor. Производитель подчеркнул, что служба поддержки никогда не просит пользователей сообщать seed-фразу.
Все покупатели, которые приобрели устройства через CryptoBilis с марта 2026 года, могут получить новый кошелек Trezor с прямой доставкой от производителя или ваучер на покупку замены. Для этого нужно сохранить устройство CryptoBilis и обратиться в службу поддержки Trezor.
Компания также уточнила, что сообщение касается конкретного Trezor Safe 5, однако рекомендации по безопасности распространяются на все модели, приобретенные через CryptoBilis. Проверять наличие импланта самостоятельно с помощью взвешивания или разборки устройства производитель не советует: надежного способа такой проверки для пользователей нет.
На момент публикации Trezor не получил сообщений о краже средств у покупателей CryptoBilis. Пользователь, который обнаружил подозрительный компонент, по словам компании, успел перевести активы с устройства до его обнаружения.
На фоне инцидента с CryptoBilis это уже не первый случай, когда пользователи аппаратных кошельков сталкиваются с рисками для безопасности. Ранее масштабная атака на владельцев Coldcard привела к краже около 1367 BTC на сумму почти $88,6 млн, а Trezor сообщил об утечке персональных данных 13 689 клиентов из-за взлома логистического партнера ShipMonk.
Кроме того, в сентябре 2026 года производитель предупреждал о компрометации стороннего email-провайдера, инфраструктуру которого злоумышленники использовали для распространения фишинговых писем. Об утечке данных покупателей также сообщила Keystone: после взлома официального сайта посторонние лица получили доступ к именам, контактам, адресам доставки и истории заказов, хотя приватные ключи и seed-фразы, по заявлению компании, не пострадали.
Сообщение Trezor предупредил об аппаратном импланте в кошельке Safe 5 появились сначала на INCRYPTED.