• Trezor erhielt am 28. Oktober eine Meldung über ein Implantat in einem Safe 5 und warnte Kunden am 30. Oktober.

• Die verdächtige Wallet wurde im August 2026 auf Tokopedia in Indonesien gekauft.

• Trezor nahm CryptoBilis am 9. Oktober aus seinem Wiederverkäufernetzwerk, nachdem Ledger eine Manipulation bestätigt hatte.

Verdacht auf Implantat in einem Trezor Safe 5

Trezor hat Kunden, die eine Hardware-Wallet beim ehemaligen südostasiatischen Wiederverkäufer CryptoBilis gekauft hatten, aufgefordert, ihre Guthaben zu transferieren. Anlass ist ein Bericht über ein mutmaßlich schädliches Implantat in einem Trezor Safe 5. Laut einer am 30. Oktober veröffentlichten Mitteilung im Unternehmensblog ging die Meldung am 28. Oktober ein. Sie betraf eine Wallet, die im August über CryptoBilis auf Tokopedia in Indonesien gekauft worden war. Der Käufer berichtete, zwischen der Hauptplatine des Geräts und seinem Display eine zusätzliche Platine mit einem Mobilfunkmodul und einer Antenne entdeckt zu haben. Nach dieser Beschreibung könnte die Hardware alles auslesen, was auf dem Display angezeigt wird, darunter auch die bei der Einrichtung generierte Wiederherstellungsphrase, und die Daten über ein Mobilfunknetz übertragen, sobald das Gerät mit Strom versorgt wird. Jede Person, die über die Phrase verfügt, könnte die Wallet auf einem anderen Gerät wiederherstellen und leerräumen, ohne das ursprüngliche Gerät zu besitzen. Trezor teilte mit, Fotos geprüft und den Käufer per Video befragt zu haben, das Gerät aber noch nicht physisch untersucht zu haben. Das Sicherheitsteam organisiere eine Laboranalyse. Das Unternehmen stufte den Bericht als glaubwürdig genug ein, um sofort zu handeln. Allen, die seit März 2026 ein beliebiges Trezor-Modell bei CryptoBilis gekauft haben, wird geraten, ihre Bestände auf eine neu erstellte Krypto-Wallet mit einer vollständig neuen Wiederherstellungsphrase zu übertragen. Denn eine offengelegte Phrase in ein anderes Gerät zu importieren, beseitigt das Risiko nicht, und die Phrase ist im Grunde eine lesbare Kopie des privaten Schlüssels der Wallet. Käufer, die ein erworbenes Gerät noch nicht eingerichtet haben, wurden aufgefordert, dies zu unterlassen und niemals eine bereits bestehende Phrase einzugeben. Bislang hat kein Kunde einen Verlust von Guthaben gemeldet. Trezor bietet Ersatzgeräte oder Gutscheine für ein neues Gerät an, bat die Käufer, ihre Hardware aufzubewahren, und warnte davor, dass Betrüger den Vorfall mit gefälschten E-Mails und Anrufen ausnutzen könnten. Das Unternehmen erklärte außerdem, dass sich Manipulationen durch Öffnen oder Wiegen einer Wallet nicht zuverlässig erkennen lassen. Die Reaktion wird von SEAL 911, dem Notfalldienst der Security Alliance, unterstützt.

Update (30. Okt., 08:31 UTC): Weitere Einzelheiten der Meldung verdeutlichen, wie die Manipulation auffiel: Dem Käufer fiel ein ungewöhnlicher Gewichtsunterschied des Geräts auf. Er hatte die Guthaben bereits an einen anderen Ort übertragen, bevor ihm klar wurde, dass die Komponente verdächtig war.

Weitere Einzelheiten der Meldung verdeutlichen, wie die Manipulation auffiel: Dem Käufer fiel ein ungewöhnlicher Gewichtsunterschied des Geräts auf. Er hatte die Guthaben bereits an einen anderen Ort übertragen, bevor ihm klar wurde, dass die Komponente verdächtig war. Trezor, das das Gerät noch nicht in Besitz genommen hat, erklärte, das Implantat verhalte sich vermutlich ähnlich wie die Hardware im bestätigten Fall von Ledger. Das Unternehmen fügte hinzu, dass bislang niemand als verantwortlich identifiziert worden sei und man bis zum Abschluss der Untersuchung keine Vergleiche zwischen den beiden Vorfällen gezogen habe. Die Meldung ging über den Kanal des Unternehmens für verantwortungsvolle Offenlegungen ein. Für betroffene Käufer, die gerade keine sichere Hardware-Wallet zur Hand haben, beschrieb Trezor außerdem die vorübergehende Nutzung einer Software-Wallet oder einer Börse als Übergangslösung. Zudem bekräftigte das Unternehmen, dass seine Supportmitarbeiter niemals nach einer Wiederherstellungsphrase fragen werden.

Arkham verfolgt Diebstähle im Umfang von 95,35 Mio. US-Dollar

CryptoBilis war einst ein autorisierter Wiederverkäufer sowohl von Trezor als auch von dessen Hauptkonkurrenten Ledger in ganz Südostasien. Dasselbe Geschäft steht im Mittelpunkt eines bestätigten Manipulationsfalls. Am 9. Oktober begann Ledger mit der Untersuchung von Verlusten bei Kunden, die ihre Wallets über den Wiederverkäufer gekauft hatten. Später bestätigte das Unternehmen, dass eine nicht autorisierte Komponente in betroffenen Geräten die bei der Einrichtung angezeigten Wiederherstellungsphrasen erfassen und über eine LTE-Verbindung nach außen übertragen konnte. Das Implantat funktionierte unabhängig vom Sicherheitschip des Geräts, sodass die normale Transaktionssignierung unbeeinträchtigt blieb. Trezor nahm CryptoBilis noch am selben Tag aus seinem Wiederverkäufernetzwerk und bat Kunden, ihre Geräte zur Prüfung einzureichen. Bis zum 19. Oktober hatte das Unternehmen vier Geräte erhalten, darunter zwei Safe 5, einen Safe 7 und einen Safe 3. Bei keinem davon waren physische Manipulationen erkennbar. Die neue Meldung betrifft einen separaten Safe 5, der nicht Teil dieser Untersuchungen war. Die Ermittler haben weder festgestellt, wer das mutmaßliche Implantat installiert hat, noch ob derselbe Angreifer beide Marken ins Visier genommen hat. Die finanziellen Spuren im Ledger-Fall sind beträchtlich: Arkham Intelligence verfolgte am 29. Oktober mutmaßliche Diebstähle in Höhe von 95,35 Millionen US-Dollar über 1.486 Adressen zwischen dem 7. und 9. Oktober zurück. Rund 10 Millionen US-Dollar in USDT wurden eingefroren, während gestohlene Gelder weiterhin über mehrere Blockchain-Netzwerke bewegt werden. Die Polizei Singapurs meldete unabhängig davon Verluste von 3,5 Millionen Singapur-Dollar in zwei Fällen mit manipulierten Ledger-Geräten, die bei lokalen Händlern gekauft worden waren. Trezor hat seine Liste autorisierter Wiederverkäufer verschärft und arbeitet bei den Ermittlungen mit Ledger und anderen Parteien zusammen. Das Unternehmen erklärte, bislang seien keine Meldungen zu anderen Wiederverkäufern eingegangen. Weitere Einzelheiten würden nach Vorliegen der Laborergebnisse bekannt gegeben.

Einschätzung von COINOTAG: Beide Vorfälle zielen auf dieselbe Schwachstelle ab: den Moment, in dem auf einem kompromittierten Gerät eine Wiederherstellungsphrase generiert wird, und nicht den Signaturchip, auf dem das Gerät basiert. Eine Hintertür in der Lieferkette umgeht sämtliche Schutzmaßnahmen des Geräts, weil das Geheimnis über den Bildschirm nach außen gelangt. Deshalb kann selbst eine ordnungsgemäß gekaufte Cold Wallet von einem nicht verifizierten Verkäufer ihren Besitzer im Stich lassen. Trezors Entscheidung, Kunden bereits vor der Bestätigung durch ein Labor zu warnen, erklärt sich durch die gemeinsame Wiederverkäufergeschichte mit einem bestätigten Manipulationsfall bei Ledger. Der Stichtag März 2026 ist eine Vorsichtsmaßnahme und kein Beleg dafür, dass jedes verkaufte Gerät betroffen ist. Als Nächstes sind drei Dinge entscheidend: die Laboruntersuchung des gemeldeten Safe 5, ob die Ermittler den Angreifer mit dem Ledger-Fall in Verbindung bringen und ob weitere regionale Warnungen zu Wiederverkäufern herausgegeben werden. Wer verschiedene Aufbewahrungsmöglichkeiten abwägt, kann sich zunächst informieren, wie Hardware-Wallets funktionieren, bevor Guthaben transferiert werden (Stand: 08:31 UTC).