كشفت كاسبرسكي عن قضية في عام 2023 أعتقد أن على كل من يشتري محفظة أجهزة أن يعرفها: لم يكن الجهاز موصولًا بالحاسوب، ومع ذلك حُوّلت العملات. فقد حدثت المشكلة قبل شرائه.
اشترى الضحية جهاز Trezor Model T من موقع للإعلانات المبوبة لبيع السلع المستعملة، وكانت ملصقات الهولوغرام المضادة للتزوير على العلبة والجهاز سليمة. لكن كاسبرسكي اكتشفت بعد تفكيكه أن الغلاف كان ملتصقًا بالغراء والشريط اللاصق ذي الوجهين، وأن الشريحة الرئيسية استُبدلت باللحام، وأن إصدار برنامج الإقلاع لم تصدره الشركة رسميًا قط.
قام البرنامج الثابت المعدّل بثلاثة أشياء: أزال التحقق من التوقيع، وعطّل التنبيه عند التشغيل؛ وعند التهيئة أو إعادة الضبط، استبدل عبارة الاسترداد المُنشأة عشوائيًا بواحدة من 20 عبارة مخزّنة مسبقًا في البرنامج الثابت؛ وإذا عُيّنت كلمة مرور إضافية، لم يأخذ سوى الحرف الأول منها. لذلك، لم تكن إعادة الضبط تخرج عن تلك العبارات العشرين، وكان المهاجم يعرف المفتاح الخاص منذ البداية. وتُظهر سجلات المعاملات أنهم انتظروا شهرًا قبل أن يتحركوا.
أكدت Trezor أن الجهاز عُدّل من طرف ثالث، وقالت إن هجوم سلسلة التوريد هذا وقع قبل نشر المقال بأكثر من عام. لم تُخترق أجهزة Trezor الأصلية عن بُعد، ولم يكن هذا ثغرة جديدة.
لن أعتمد على ملصق مكافحة التزوير وحده للحكم على الأمان؛ فسلامة الملصق لا تعني أن الشريحة والبرنامج الثابت بالداخل لم يُعدّلا. توضح تعليمات Trezor الرسمية أن أجهزتها تُشحن من المصنع من دون برنامج ثابت أو عبارة استرداد افتراضية، وأنه إذا كان الجهاز الجديد يحتوي بالفعل على برنامج ثابت، فيجب التواصل فورًا مع خدمة العملاء الرسمية. هذه سياسة المصنع الخاصة بـTrezor، وقد تختلف لدى العلامات التجارية الأخرى، لذا ينبغي الرجوع إلى التعليمات الرسمية لكل شركة.
تتمثل النصيحة الأساسية التي قدمتها كاسبرسكي وTrezor في الشراء من القنوات الرسمية وعدم تجاهل التحذيرات التي تظهر على الجهاز. أما محافظ الأجهزة المستعملة مجهولة المصدر، فلن أستخدمها شخصيًا لحفظ الأموال.