• 28 октября Trezor получила сообщение об импланте в Safe 5, а 30 октября предупредила клиентов.

• Подозрительный кошелёк был куплен на Tokopedia в Индонезии в августе 2026 года.

• 9 октября Trezor исключила CryptoBilis из своей сети дистрибьюторов после того, как Ledger подтвердила факт вмешательства.

Подозрение на имплант в Trezor Safe 5

Trezor призвала клиентов, купивших аппаратный кошелёк у её бывшего дистрибьютора в Юго-Восточной Азии CryptoBilis, перевести свои средства после сообщения о предполагаемом вредоносном импланте внутри устройства Trezor Safe 5. Согласно записи в блоге компании от 30 октября, сообщение поступило 28 октября и касалось кошелька, купленного через CryptoBilis на площадке Tokopedia в Индонезии в августе. Покупатель сообщил, что обнаружил дополнительную плату между основной платой устройства и экраном, оснащённую сотовым модулем и антенной. Судя по этому описанию, устройство могло считывать всё, что отображалось на экране, включая фразу восстановления, созданную при настройке, и передавать её по мобильной сети, когда устройство подключено к питанию. Любой, у кого есть эта фраза, мог бы восстановить кошелёк на другом устройстве и опустошить его без исходного устройства. Trezor заявила, что изучила фотографии и опросила покупателя по видеосвязи, но пока не проводила физический осмотр устройства; команда безопасности организует лабораторный анализ. Компания сочла сообщение достаточно достоверным, чтобы немедленно принять меры. Всем, кто с марта 2026 года покупал любую модель Trezor у CryptoBilis, рекомендуется перевести средства в новый криптокошелёк, создав совершенно новую фразу восстановления: импорт скомпрометированной фразы на другое устройство не устраняет риск, поскольку эта фраза фактически представляет собой читаемую копию закрытого ключа кошелька. Покупателям, которые ещё не настроили приобретённое устройство, рекомендовано остановиться и ни в коем случае не вводить уже существующую фразу. Пока никто из клиентов не сообщал о потере средств. Trezor предлагает замену устройств или ваучеры на покупку нового устройства, просит покупателей сохранить свои устройства и предупреждает, что мошенники могут воспользоваться инцидентом, рассылая поддельные электронные письма и совершая звонки. Компания также заявила, что вскрытие или взвешивание кошелька не позволяет надёжно обнаружить вмешательство. Ответные меры поддерживает SEAL 911 — служба экстренной помощи Security Alliance.

Обновлено (30 окт., 08:31 UTC): Дополнительные сведения из сообщения раскрывают, как обнаружили вмешательство: покупатель заметил необычную разницу в весе устройства и уже перевёл средства в другое место, прежде чем понял, что компонент вызывает подозрения.

Дополнительные сведения из сообщения раскрывают, как обнаружили вмешательство: покупатель заметил необычную разницу в весе устройства и уже перевёл средства в другое место, прежде чем понял, что компонент вызывает подозрения. Trezor, которая не получала это устройство, заявила, что, предположительно, имплант действует примерно так же, как аппаратное устройство, обнаруженное в подтверждённом случае с Ledger. Компания добавила, что ответственные пока не установлены, а сравнивать два инцидента она не будет до завершения расследования. Сообщение поступило через канал компании для ответственного раскрытия информации. Покупателям, которых это коснулось и у которых нет под рукой надёжного аппаратного кошелька, Trezor также предложила временно перейти на программный кошелёк или использовать биржу. Компания подтвердила, что её сотрудники службы поддержки никогда не попросят сообщить фразу восстановления.

Arkham отследила кражи на $95,35 млн

CryptoBilis когда-то была авторизованным реселлером Trezor и её главного конкурента Ledger в Юго-Восточной Азии, а тот же магазин оказался в центре подтверждённого случая вмешательства в устройства. 9 октября Ledger начала расследование потерь клиентов, купивших кошельки через этого реселлера, а затем подтвердила, что неавторизованный компонент внутри затронутых устройств мог перехватывать фразы восстановления, отображавшиеся во время настройки, и передавать их через LTE-соединение. Этот имплант работал независимо от защитного чипа устройства, не затрагивая обычную подпись транзакций. В тот же день Trezor исключила CryptoBilis из своей сети реселлеров и попросила клиентов предоставить устройства для проверки. К 19 октября компания получила четыре устройства: два Safe 5, один Safe 7 и один Safe 3. Ни на одном из них физических следов вмешательства не обнаружили. Новое сообщение касается отдельного Safe 5, который не проверяли в рамках этих мероприятий. Следователи не установили, кто установил предполагаемый имплант и действовал ли один и тот же злоумышленник против обоих брендов. Масштаб движения средств в деле Ledger значителен: 29 октября Arkham Intelligence отследила подозрительные кражи на $95,35 млн с 1 486 адресов в период с 7 по 9 октября. Около $10 млн в USDT были заморожены, тогда как украденные средства продолжают перемещаться по нескольким блокчейн-сетям. Полиция Сингапура отдельно сообщила об убытках на сумму 3,5 млн сингапурских долларов по двум делам, связанным с подделанными устройствами Ledger, приобретёнными у местных продавцов. Trezor ужесточила требования к списку авторизованных реселлеров и сотрудничает с Ledger и другими сторонами в рамках расследования. Компания сообщила, что пока не получала сведений о случаях, связанных с другими реселлерами, и обещала предоставить дополнительные подробности после получения результатов лабораторных исследований.

По оценке COINOTAG, оба инцидента нацелены на одно и то же уязвимое место — момент создания фразы восстановления на скомпрометированном устройстве, а не чип, отвечающий за подпись. Бэкдор в цепочке поставок обходит все средства защиты устройства, потому что секрет покидает его через экран. Поэтому даже холодный кошелёк, купленный у непроверенного продавца, может подвести владельца. Решение Trezor предупредить клиентов до подтверждения лабораторных результатов объясняется тем, что у компании и Ledger был общий реселлер, замешанный в подтверждённом случае вмешательства. Дата отсечения — март 2026 года — это мера предосторожности, а не свидетельство того, что затронуто каждое проданное устройство. Теперь важны три вещи: результаты лабораторной проверки указанного Safe 5, установят ли следователи связь между злоумышленником и делом Ledger и появятся ли новые предупреждения для региональных реселлеров. Прежде чем переводить средства, читатели, выбирающие способ хранения, могут ознакомиться с принципом работы аппаратных кошельков (по состоянию на 08:31 UTC).