La publicación de finales de octubre solo decía: «Alguien lo denunció; el dispositivo aún no se había desmontado». El día 12, el blog oficial de Trezor lo confirmó sin rodeos: el laboratorio desmontó aquel Safe 5 y, a partir de las fotos del interior enviadas por el propietario, identificó otros dos. En total, tres dispositivos llevaban instalada una placa que solo robaba lo que aparecía en pantalla.
Los tres procedían del antiguo distribuidor autorizado CryptoBilis. La fecha de compra se acotó al periodo entre el 20 de agosto y el 23 de septiembre de este año, y los canales de venta incluían Tokopedia, Shopee y la compra directa. De los 48 compradores con los que se pusieron en contacto, hasta ahora solo se han confirmado estos tres casos; no se han detectado implantes similares en otros distribuidores ni en otros modelos. Ninguno de los tres propietarios ha informado de pérdidas de criptomonedas.
Esta placa está intercalada entre la placa base y la pantalla. Solo escucha, no modifica nada: copia todo lo que aparece en la pantalla, incluido lo que se introduce en el dispositivo, sin tocar el firmware ni el elemento seguro. Cuando una frase de recuperación o una frase de contraseña aparece en pantalla, la reconoce, la guarda, la cifra y la envía por la red móvil al servidor del atacante; si no logra enviarla, la almacena y sigue intentándolo. Trezor indicó que su funcionamiento es similar al de los implantes descubiertos anteriormente en dispositivos Ledger, aunque adaptado a la pantalla del Safe 5.
El firmware 2.13.1, publicado el 11 de noviembre, impide que los implantes descubiertos capturen contenido nuevo. Sin embargo, el sitio web oficial también advierte que la actualización no protege las copias de seguridad de las carteras que ya hayan sido interceptadas antes de instalarla. A quienes compraron a CryptoBilis, les sigue recomendando transferir sus activos a una cartera nueva y usar una nueva frase de recuperación. Los usuarios que compraron a través de ese canal después de marzo de este año pueden ponerse en contacto con el soporte oficial de Trezor para solicitar el reemplazo del dispositivo.
Esta vez, la red de distribuidores se redujo aproximadamente un 80 %. Trezor afirma que los socios excluidos son «de confianza y no suponen una amenaza inmediata», pero no cumplen las normas más estrictas sobre adquisición, almacenamiento y control de acceso. En adelante, colaborará con SEAL 911. Por ahora, no se harán públicos los detalles técnicos que podrían ayudar a los atacantes. La investigación sigue en curso y actualizarán esta entrada del blog si se confirman otros casos fuera de CryptoBilis o se producen pérdidas de fondos relacionadas con los implantes.