Trezor нашла в купленном у CryptoBilis Safe 5 плату с модемом для кражи сид-фразы

Команда Trezor сообщила о вероятном вредоносном модуле в аппаратном кошельке Safe 5, приобретённом у реселлера CryptoBilis. Об этом стало известно после ответственного раскрытия: 28 октября пользователь из Индонезии рассказал службе безопасности компании, что внутри устройства стоит лишняя печатная плата.

Покупатель приобрёл кошелёк в августе 2026 года через маркетплейс Tokopedia. По его словам, дополнительный модуль размещён между основной платой и экраном, на нём установлены сотовый модем и антенна. Предположительно, плата считывала данные с дисплея, включая сид-фразу для восстановления доступа, и передавала их злоумышленникам по мобильной сети, когда устройство подключали к питанию.

Сам кошелёк в Trezor пока не получили. Компания сочла сообщение достоверным по описанию клиента и итогам видеоинтервью с ним и решила предупредить покупателей до лабораторной проверки. Случаев потери средств среди тех, кто купил устройства у CryptoBilis, не зафиксировано. Рассказавший об импланте пользователь перевёл активы ещё до того, как обнаружил плату.

Что делать владельцам кошельков от CryptoBilis

Всем, кто купил Trezor у этого продавца с марта 2026 года, рекомендуют как можно скорее перевести средства на новый кошелёк с новой сид-фразой. Восстанавливать старую фразу на другом устройстве бесполезно: угроза сохранится. Если другого аппаратного кошелька под рукой нет, в Trezor допускают временный перевод активов в программный кошелёк или на знакомую биржу.

Ещё не настроенное устройство от CryptoBilis советуют не активировать и не вводить в него резервную копию существующего кошелька. Вскрывать или взвешивать кошелёк для проверки не стоит: ни один из способов не даёт надёжного результата, а замеченная заявителем разница в весе может объясняться другими причинами. Пострадавшим предлагают сохранить устройство и обратиться в поддержку за новым аппаратным кошельком.

Trezor напоминает, что резервную фразу нельзя передавать никому, включая сотрудников поддержки.

Почему под подозрением оказался тот же продавец

9 октября 2026 года Trezor убрала CryptoBilis из списка авторизованных реселлеров после сообщений о модифицированных устройствах Ledger, проданных через него. С тех пор компания проверяла кошельки, купленные у этого поставщика: в четырёх полученных на экспертизу экземплярах следов вмешательства не нашли.

10 октября Ledger подтвердила наличие имплантов в своих устройствах, проданных через CryptoBilis в Юго-Восточной Азии. По исследованию команды Ledger Donjon, вредоносный компонент считывал с экрана 24 слова фразы восстановления при первичной настройке и отправлял их по LTE через встроенную eSIM. Защищенный чип Secure Element и операционная система Ledger при этом оставались неизменными.

Сумму связанных с инцидентом хищений аналитическая компания Bitquery оценила в $93,2 млн ≈ 275 млн BYN; производитель эту цифру не подтвердил. В Chainalysis заявили, что одним из крупнейших пострадавших стал сам скамер, предположительно потерявший 60 BTC (около $4,8 млн ≈ 14,1 млн BYN). Проверить, не связан ли адрес с такими инцидентами, можно через проверку кошелька.

В середине октября бывший глава Mt. Gox Марк Карпелес нашёл шпионский имплант в аппаратном кошельке Ledger Nano X, купленном в немецком магазине MediaMarkt. Кто стоит за имплантом в Safe 5, в Trezor не знают и до завершения расследований сравнивать этот случай с инцидентом Ledger отказываются. Расследование ведётся вместе с Ledger и другими специалистами, компанию консультировала экстренная служба SEAL 911 от Security Alliance. Сообщений о подобных устройствах у других реселлеров не поступало. Сколько всего кошельков могло пройти через CryptoBilis, не раскрывается.