- Trezor подтвердил три случая установки вредоносных плат в кошельки Safe 5, приобретенные через реселлера CryptoBilis в августе-сентябре 2026 года.
- Обновление прошивки 2.13.1 блокирует сбор данных обнаруженными имплантами, однако не защищает seed-фразы, которые могли быть украдены ранее.
- Компания сократила сеть реселлеров примерно на 80%, а покупателям CryptoBilis предложила заменить устройства.
Производитель аппаратных криптокошельков Trezor обнародовал результаты расследования относительно вредоносных аппаратных имплантов в устройствах Safe 5, приобретенных у реселлера CryptoBilis.
Компания подтвердила три случая вмешательства и выпустила обновление прошивки, которое блокирует сбор данных обнаруженными модулями. Инцидент касается безопасности приватных ключей и seed-фраз, которые дают доступ к криптовалютным активам пользователей.
По данным Trezor, все три устройства были приобретены в период с 20 августа по 23 сентября 2026 года через магазины CryptoBilis на Tokopedia и Shopee или непосредственно у реселлера. Один кошелек компания исследовала в собственной лаборатории, еще два идентифицировала по фотографиям внутренних компонентов, присланным владельцами.
После октябрьских сообщений о возможном вмешательстве Trezor попросила клиентов CryptoBilis обратиться в службу поддержки. На данный момент компания получила 48 обращений и проверяет устройства. Она также осмотрела кошельки других реселлеров в регионе, но не выявила признаков подмены. По словам производителя, ни один клиент не сообщил о потере средств.
Как работает имплант и что он может украсть
Команда Trezor исследовала прошивку обнаруженного модуля. Он представляет собой дополнительную плату, установленную между основной платой устройства Safe 5 и его экраном. Имплант не изменяет работу кошелька, а лишь считывает информацию, которая отображается на дисплее, в частности введенные пользователем данные.
Когда на экране появляются слова для восстановления кошелька, модуль распознает и сохраняет их. Это касается как seed-фразы, которую устройство показывает во время создания резервной копии, так и слов, которые пользователь вводит для восстановления существующего кошелька. Точно так же имплант может перехватить парольную фразу (passphrase), если она отображается на экране.
Собранную информацию модуль шифрует и передает через мобильную сеть на сервер злоумышленников. Если подключиться не удается, он сохраняет данные и повторяет попытки передачи. В Trezor отметили, что принцип работы импланта похож на модули, ранее обнаруженные в устройствах Ledger, но адаптирован к конструкции Safe 5.
Trezor обновила прошивку и усилила контроль реселлеров
11 ноября 2026 года компания выпустила версию прошивки 2.13.1. Она содержит защиту, которая не позволяет обнаруженным имплантам собирать информацию на устройствах с этим обновлением. В то же время производитель подчеркивает: обновление не может защитить seed-фразу, если ее уже перехватили до установки новой прошивки.
Поэтому пользователям, которые приобрели кошелек через CryptoBilis и уже настроили его, рекомендуют как можно скорее перевести активы на новый кошелек с новой seed-фразой. Повторно использовать старую фразу нельзя — даже на другом аппаратном или программном кошельке. Если нет другого безопасного аппаратного устройства, Trezor советует временно воспользоваться знакомым программным кошельком или криптобиржей.
Тем, кто еще не настроил приобретенное в CryptoBilis устройство, рекомендуют не активировать его и не вводить на нем резервную фразу от имеющегося кошелька.
Кроме того, Trezor сократила сеть реселлеров примерно на 80%. По словам компании, даже партнеры, которые не представляли непосредственной угрозы, были исключены из-за несоответствия новым более строгим требованиям к поставкам, хранению устройств и контролю доступа к ним.
Компания также предлагает замену устройств всем, кто приобрел Trezor через CryptoBilis с марта 2026 года, а не только владельцам трех подтвержденно скомпрометированных Safe 5. Для оформления замены необходимо сохранить устройство и обратиться в службу поддержки Trezor. В зависимости от страны доставки клиентам могут предложить другую модель с компенсацией разницы в цене, доставку на адрес в другой стране или возврат средств.
Напомним, ранее Trezor исключила CryptoBilis из списка реселлеров после сообщений о продаже через него модифицированных устройств Ledger. После этого компания начала проверять кошельки Trezor, приобретенные у этого продавца.
Производитель призвал пользователей не передавать seed-фразы никому, в том числе лицам, которые представляются сотрудниками службы поддержки. Trezor подчеркивает, что ее представители никогда не запрашивают резервные фразы, а вопросы относительно подозрительных устройств нужно решать только через официальную службу поддержки.
Отметим, что Trezor уже заявлял об утечке данных более 13 000 клиентов из-за взлома ShipMonk, жаловалcя на новую волну фишинга и сообщал о взломе стороннего email-провайдера.
Сообщение Trezor обнаружил три аппаратных импланта в Safe 5 от CryptoBilis и выпустил защитное обновление появились сначала на INCRYPTED.