Trezor предупреждает о возможном аппаратном импланте в кошельке, купленном у реселлера CryptoBilis

Компания Trezor выпустила предупреждение для покупателей реселлера CryptoBilis. По сообщению клиента, в аппаратном кошельке Trezor Safe 5, приобретённом у этого продавца, обнаружилась лишняя печатная плата, которая передаёт фразу восстановления по мобильной сети.

Что нашёл покупатель

Как говорится в блоге Trezor от 30 октября, сообщение поступило двумя днями ранее от клиента из Индонезии. Он купил кошелёк в августе у CryptoBilis через маркетплейс Tokopedia.

По описанию покупателя, плата с сотовым модулем и антенной расположена между основной платой кошелька и экраном. Она считывает содержимое экрана, включая фразу восстановления (в терминологии Trezor — резервную копию кошелька), и отправляет его каждый раз, когда устройство подключено.

Trezor получила фотографии и описание, провела с клиентом видеозвонок и сейчас организует доставку кошелька в свою лабораторию. Компания сочла сообщение достаточно правдоподобным, чтобы предупредить пользователей до лабораторного подтверждения: «Если ждать результатов, покупатели CryptoBilis тем временем останутся под угрозой».

О потере средств покупатели CryptoBilis в Trezor не сообщали, хотя сама компания не видит содержимого кошельков клиентов. Индонезийский покупатель вывел средства с устройства ещё до того, как обнаружил плату.

Рекомендации

Предупреждение касается всех моделей Trezor, купленных у CryptoBilis начиная с марта 2026 года, в том числе в любых магазинах, торговавших поставленными ею устройствами, и в её магазине на Tokopedia:

• если кошелёк уже используется, как можно скорее переведите средства на новый кошелёк с новой фразой восстановления. Восстановление старой фразы на другом устройстве не поможет: модифицированный кошелёк мог уже её передать;
• при отсутствии другого надёжного аппаратного кошелька временно переведите средства в программный кошелёк или на знакомую биржу;
• если кошелёк ещё не настроен, не настраивайте его и никогда не вводите в него существующую фразу восстановления;
• сохраните устройство и обратитесь в поддержку Trezor — компания пришлёт новый кошелёк или ваучер на его стоимость;
• если происхождение устройства неизвестно, проверьте имя продавца в чеке или свяжитесь с поддержкой.

Самостоятельно проверить устройство надёжно нельзя, и взвешивать или вскрывать его Trezor не советует. Покупатель заметил разницу в весе, но небольшие отклонения бывают и по другим причинам. Компания также ожидает, что мошенники воспользуются ситуацией для фишинга через поддельные письма и телефонные звонки. На 30 октября сообщений о других реселлерах не поступало.

Связь с историей Ledger

Trezor прекратила сотрудничество с CryptoBilis, своим авторизованным реселлером в Юго-Восточной Азии, 9 октября — после того как Ledger начала расследовать потери среди своих клиентов, купивших устройства у того же продавца. Позже Ledger сообщила, что в кошельке одного из пострадавших нашёлся несанкционированный аппаратный имплант, предназначенный для перехвата фразы восстановления при настройке.

По оценке Trezor, плата в Safe 5, судя по всему, работает так же, как импланты в устройствах Ledger. Однако сравнивать их до завершения расследований компания не станет, поскольку производители устроены по-разному. Кто стоит за атакой, Trezor не знает.

Отдельно полиция Сингапура 28 октября предупредила, что аппаратные кошельки Ledger, купленные в некоторых местных розничных магазинах, содержали вредоносные аппаратные компоненты, способные перехватывать фразы восстановления или закрытые ключи. С 10 сентября зафиксировано как минимум два таких случая. Полиция продолжает расследование, Ledger изучает затронутые случаи.

Источник: The Hacker News