• A Trezor recebeu uma denúncia sobre um implante no Safe 5 em 28 de outubro e alertou os clientes em 30 de outubro.

• A carteira suspeita foi comprada na Tokopedia, na Indonésia, em agosto de 2026.

• A Trezor retirou a CryptoBilis de sua rede de revendedores em 9 de outubro, depois que a Ledger confirmou a adulteração.

Implante suspeito em um Trezor Safe 5

A Trezor orientou os clientes que compraram uma carteira de hardware de sua antiga revendedora no Sudeste Asiático, a CryptoBilis, a transferir seus fundos após uma denúncia de um possível implante malicioso dentro de um dispositivo Trezor Safe 5. De acordo com o comunicado publicado no blog da empresa em 30 de outubro, a denúncia foi recebida em 28 de outubro e dizia respeito a uma carteira comprada pela CryptoBilis na Tokopedia, na Indonésia, em agosto. O comprador relatou ter encontrado uma placa de circuito extra entre a placa principal do dispositivo e a tela, equipada com um módulo celular e uma antena. Com base nessa descrição, o hardware poderia ler tudo o que fosse exibido na tela, incluindo a frase de recuperação gerada durante a configuração, e transmiti-la por uma rede móvel sempre que o dispositivo estivesse conectado à energia. Qualquer pessoa que tivesse a frase poderia restaurar a carteira em outro lugar e esvaziá-la sem a unidade original. A Trezor disse que analisou fotografias e entrevistou o comprador por vídeo, mas ainda não examinou fisicamente o dispositivo; sua equipe de segurança está organizando uma análise laboratorial. A empresa considerou a denúncia suficientemente confiável para agir imediatamente. Recomenda-se que todas as pessoas que compraram qualquer modelo Trezor da CryptoBilis desde março de 2026 transfiram seus ativos para uma carteira de criptomoedas recém-criada, com uma frase de recuperação totalmente nova, pois importar uma frase exposta para outro dispositivo não elimina o risco, e a frase é, na prática, uma cópia legível da chave privada da carteira. Os compradores que ainda não configuraram o dispositivo adquirido foram orientados a interromper o processo e nunca inserir uma frase já existente. Até o momento, nenhum cliente relatou perda de fundos. A Trezor está oferecendo dispositivos de substituição ou vouchers para cobrir o custo de uma nova unidade, pediu aos compradores que guardem seu hardware e alertou que golpistas podem se aproveitar do incidente por meio de e-mails e ligações falsas. A empresa também afirmou que abrir ou pesar uma carteira não permite detectar adulterações de forma confiável. A resposta conta com o apoio da SEAL 911, o serviço de emergência da Security Alliance.

Atualização (30 out., 08:31 UTC): Detalhes adicionais do comunicado esclarecem como a adulteração foi descoberta: o comprador notou uma diferença incomum no peso do dispositivo e já havia transferido os fundos para outro lugar antes de perceber que o componente era suspeito.

Detalhes adicionais do comunicado esclarecem como a adulteração foi descoberta: o comprador notou uma diferença incomum no peso do dispositivo e já havia transferido os fundos para outro lugar antes de perceber que o componente era suspeito. A Trezor, que não está de posse da unidade, afirmou que se acredita que o implante funcione de maneira semelhante ao hardware encontrado no caso confirmado da Ledger, acrescentando que ninguém foi identificado como responsável e que não divulgou comparações entre os dois incidentes enquanto a investigação estiver em andamento. O relato foi enviado pelo canal de divulgação responsável da empresa. Para os compradores afetados que não têm uma carteira de hardware segura à disposição, a Trezor também indicou como opção temporária o uso de uma carteira de software ou de uma corretora, e reafirmou que sua equipe de suporte nunca solicitará uma frase de recuperação.

Arkham rastreia US$ 95,35 milhões em roubos

A CryptoBilis já foi revendedora autorizada tanto da Trezor quanto de sua principal concorrente, a Ledger, em todo o Sudeste Asiático, e a mesma loja está no centro de um caso confirmado de adulteração. Em 9 de outubro, a Ledger começou a investigar perdas entre clientes que compraram suas carteiras por meio da revendedora e, posteriormente, confirmou que um componente não autorizado dentro dos dispositivos afetados poderia capturar frases de recuperação exibidas durante a configuração e exfiltrá-las por uma conexão LTE. Esse implante funcionava de forma independente do chip de segurança do dispositivo, sem interferir na assinatura normal de transações. A Trezor removeu a CryptoBilis de sua rede de revendedores no mesmo dia e pediu aos clientes que enviassem os dispositivos para inspeção; até 19 de outubro, havia recebido quatro unidades, incluindo dois dispositivos Safe 5, um Safe 7 e um Safe 3, sem sinais de adulteração física. O novo comunicado diz respeito a outro Safe 5, que não fez parte dessas inspeções. Os investigadores ainda não identificaram quem instalou o suposto implante nem se o mesmo invasor atacou as duas marcas. O rastro financeiro em torno do caso da Ledger é significativo: em 29 de outubro, a Arkham Intelligence rastreou US$ 95,35 milhões em roubos suspeitos em 1.486 endereços entre 7 e 9 de outubro, com cerca de US$ 10 milhões em USDT congelados, enquanto os fundos roubados continuam circulando por várias redes blockchain. Separadamente, a polícia de Singapura informou perdas de S$ 3,5 milhões em dois casos envolvendo dispositivos Ledger adulterados comprados de varejistas locais. A Trezor reforçou sua lista de revendedores autorizados e está cooperando com a Ledger e outras partes na investigação. A empresa afirmou que, até o momento, não recebeu relatos relacionados a outros revendedores e que divulgará mais detalhes assim que os resultados laboratoriais estiverem disponíveis.

Análise da COINOTAG: os dois incidentes têm como alvo o mesmo ponto vulnerável: o momento em que uma frase de recuperação é gerada em um dispositivo comprometido, e não o chip de assinatura em torno do qual o dispositivo é construído. Uma porta dos fundos na cadeia de suprimentos contorna todas as proteções do dispositivo porque o segredo sai pela tela; por isso, até mesmo uma carteira física comprada de forma legítima, mas de um vendedor não verificado, pode deixar seu proprietário desprotegido. A decisão da Trezor de alertar os clientes antes da confirmação laboratorial decorre do histórico compartilhado de revenda com o caso confirmado de adulteração da Ledger; o prazo de março de 2026 é uma precaução, não uma evidência de que todas as unidades vendidas foram afetadas. Três pontos são importantes agora: o exame laboratorial do Safe 5 relatado, se os investigadores vincularão o invasor ao caso da Ledger e se surgirão novos avisos regionais sobre revendedores. Quem estiver avaliando opções de armazenamento pode primeiro consultar como funcionam as carteiras de hardware antes de transferir fundos (em 08:31 UTC).