Покупатель обнаружил внутри аппаратного кошелька Trezor Safe 5 дополнительную плату. По его сообщению, она считывает изображение с экрана, включая фразу восстановления, которую Trezor называет резервной копией кошелька, а затем передаёт данные через мобильную сеть. Лаборатория Trezor пока не подтвердила эти сведения, но компания сочла сообщение достаточно серьёзным, чтобы предупредить клиентов до окончания проверки.
В блоге от 30 октября Trezor сообщила, что получила обращение двумя днями ранее. Покупатель живёт в Индонезии: в августе он заказал устройство у CryptoBilis через онлайн-площадку Tokopedia. По его описанию, плата установлена между основной платой кошелька и экраном, оснащена модулем сотовой связи и антенной. Данные, предположительно, отправляются всякий раз, когда устройство подключают к питанию.
Компания получила фотографии и описание устройства, а также провела с покупателем видеозвонок. Сейчас Trezor договаривается о передаче кошелька в лабораторию. Ожидать результатов проверки, прежде чем предупредить остальных клиентов CryptoBilis, компания не стала: за это время владельцы подозрительных устройств могли бы продолжать ими пользоваться.
На 30 октября Trezor не получала сообщений о пропаже средств у покупателей CryptoBilis. Компания не может видеть, какие активы хранятся в кошельках клиентов. Сам покупатель успел перевести средства с устройства до того, как заметил плату. Жалоб на подобные устройства, купленные у других продавцов, Trezor к этой дате также не получала.
Предупреждение касается всех моделей Trezor, купленных у CryptoBilis начиная с марта 2026 года. Оно распространяется и на устройства из магазинов, снабжавшихся CryptoBilis, и на собственный магазин продавца на Tokopedia. Если кошельком уже пользовались, следует как можно быстрее перевести средства в новый кошелёк с новой фразой восстановления. Просто восстановить старую фразу на другом устройстве недостаточно: если она была передана скомпрометированным кошельком, злоумышленники уже могли её получить.
Если у владельца нет другого надёжного аппаратного кошелька, Trezor советует временно перевести средства в программный кошелёк или на биржу, которой он доверяет. Не настроенный кошелёк не следует запускать; вводить в него уже существующую фразу восстановления нельзя. Само устройство нужно сохранить и обратиться в службу поддержки Trezor: компания обещает заменить его или выдать ваучер на стоимость замены. Если происхождение покупки неясно, проверьте название продавца в чеке или свяжитесь с поддержкой.
Самостоятельно надёжно определить наличие вмешательства нельзя. Trezor просит не вскрывать устройство и не пытаться проверить его весом. Именно разница в весе насторожила покупателя, но небольшие отклонения могут иметь и другие причины. Компания также предупреждает о возможных фишинговых атаках: после инцидента мошенники могут рассылать поддельные письма, отправлять письма по обычной почте или звонить от имени службы поддержки.
CryptoBilis был авторизованным реселлером Trezor в Юго-Восточной Азии. 9 октября Trezor прекратила сотрудничество с ним после того, как производитель аппаратных кошельков Ledger начал расследовать потери клиентов, купивших устройства через CryptoBilis. Позже Ledger сообщил, что в кошельке одного пострадавшего обнаружили несанкционированный аппаратный модуль, предназначенный для перехвата фразы восстановления во время настройки. По оценке Trezor, плата в Safe 5 устроена похоже на импланты, найденные в устройствах Ledger. Сравнивать детали двух расследований компания пока не берётся: производители конструируют кошельки по-разному. Кто установил плату, Trezor не знает.
Отдельное предупреждение 28 октября выпустила полиция Сингапура. По её данным, вредоносные аппаратные компоненты обнаружили в кошельках Ledger, купленных в некоторых розничных магазинах страны. С 10 сентября зарегистрировали как минимум два таких случая. Компоненты могли перехватывать фразы восстановления или приватные ключи. Полиция продолжает расследование, а Ledger проверяет затронутые случаи.
Изображение носит иллюстративный характер
В блоге от 30 октября Trezor сообщила, что получила обращение двумя днями ранее. Покупатель живёт в Индонезии: в августе он заказал устройство у CryptoBilis через онлайн-площадку Tokopedia. По его описанию, плата установлена между основной платой кошелька и экраном, оснащена модулем сотовой связи и антенной. Данные, предположительно, отправляются всякий раз, когда устройство подключают к питанию.
Компания получила фотографии и описание устройства, а также провела с покупателем видеозвонок. Сейчас Trezor договаривается о передаче кошелька в лабораторию. Ожидать результатов проверки, прежде чем предупредить остальных клиентов CryptoBilis, компания не стала: за это время владельцы подозрительных устройств могли бы продолжать ими пользоваться.
На 30 октября Trezor не получала сообщений о пропаже средств у покупателей CryptoBilis. Компания не может видеть, какие активы хранятся в кошельках клиентов. Сам покупатель успел перевести средства с устройства до того, как заметил плату. Жалоб на подобные устройства, купленные у других продавцов, Trezor к этой дате также не получала.
Предупреждение касается всех моделей Trezor, купленных у CryptoBilis начиная с марта 2026 года. Оно распространяется и на устройства из магазинов, снабжавшихся CryptoBilis, и на собственный магазин продавца на Tokopedia. Если кошельком уже пользовались, следует как можно быстрее перевести средства в новый кошелёк с новой фразой восстановления. Просто восстановить старую фразу на другом устройстве недостаточно: если она была передана скомпрометированным кошельком, злоумышленники уже могли её получить.
Если у владельца нет другого надёжного аппаратного кошелька, Trezor советует временно перевести средства в программный кошелёк или на биржу, которой он доверяет. Не настроенный кошелёк не следует запускать; вводить в него уже существующую фразу восстановления нельзя. Само устройство нужно сохранить и обратиться в службу поддержки Trezor: компания обещает заменить его или выдать ваучер на стоимость замены. Если происхождение покупки неясно, проверьте название продавца в чеке или свяжитесь с поддержкой.
Самостоятельно надёжно определить наличие вмешательства нельзя. Trezor просит не вскрывать устройство и не пытаться проверить его весом. Именно разница в весе насторожила покупателя, но небольшие отклонения могут иметь и другие причины. Компания также предупреждает о возможных фишинговых атаках: после инцидента мошенники могут рассылать поддельные письма, отправлять письма по обычной почте или звонить от имени службы поддержки.
CryptoBilis был авторизованным реселлером Trezor в Юго-Восточной Азии. 9 октября Trezor прекратила сотрудничество с ним после того, как производитель аппаратных кошельков Ledger начал расследовать потери клиентов, купивших устройства через CryptoBilis. Позже Ledger сообщил, что в кошельке одного пострадавшего обнаружили несанкционированный аппаратный модуль, предназначенный для перехвата фразы восстановления во время настройки. По оценке Trezor, плата в Safe 5 устроена похоже на импланты, найденные в устройствах Ledger. Сравнивать детали двух расследований компания пока не берётся: производители конструируют кошельки по-разному. Кто установил плату, Trezor не знает.
Отдельное предупреждение 28 октября выпустила полиция Сингапура. По её данным, вредоносные аппаратные компоненты обнаружили в кошельках Ledger, купленных в некоторых розничных магазинах страны. С 10 сентября зарегистрировали как минимум два таких случая. Компоненты могли перехватывать фразы восстановления или приватные ключи. Полиция продолжает расследование, а Ledger проверяет затронутые случаи.
