Trezor нашла перехватывающие платы в трёх Safe 5 из магазинов CryptoBilis

Trezor сообщила о трёх аппаратных кошельках Safe 5, внутри которых нашли посторонние платы. Все три устройства продал реселлер CryptoBilis в период с 20 августа по 23 сентября 2026 года. Плата, установленная между основной платой и экраном, считывала отображаемые слова фразы восстановления и парольную фразу, шифровала их и отправляла по мобильной сети.

Проверку начали после октябрьских сообщений о вмешательстве. Trezor попросила владельцев CryptoBilis связаться с компанией, и на этот призыв откликнулись 48 человек. Одно устройство изучили в лаборатории, два других определили по фотографиям, присланным владельцами. По словам Trezor, пользователи этих трёх кошельков не лишились средств. В проверенных устройствах других продавцов и других моделей следов вмешательства не нашли.

Как работала плата

Имплант ставился между основной платой и экраном. Он не менял прошивку и защищённый элемент кошелька, то есть работал как отдельное устройство внутри уже собранного корпуса. Все три подтверждённых случая связаны только с Safe 5 от CryptoBilis.

Что делать владельцам

Прошивка 2.13.1, выпущенная 11 ноября, блокирует известные компании импланты. Однако обновление не защищает фразу, которую плата успела считать до установки. Поэтому Trezor советует покупателям CryptoBilis перенести средства в новый кошелёк с новой фразой восстановления. Использование старой фразы на другом устройстве, по словам компании, проблему не решает.

Покупатели любого Trezor, купленного у CryptoBilis с марта 2026 года, могут получить новое устройство. Если выбранную модель нельзя доставить в страну покупателя, предлагается другая модель с возвратом разницы в цене, доставка по другому адресу или возврат денег. Для оформления нужно сохранить устройство и обратиться в поддержку Trezor.

Реселлеры и хроника расследования

CryptoBilis была официальным реселлером Trezor в Юго-Восточной Азии. 9 октября Trezor исключила продавца из списка партнёров на фоне расследования Ledger о потерях средств у покупателей кошельков CryptoBilis. 28 октября компания получила сведения об одном предположительно заражённом Safe 5 и предупредила покупателей. После последующей проверки подтвердились три случая.

«Мы сократили нашу сеть реселлеров примерно на 80%», — заявила Trezor. По её словам, оставшиеся продавцы должны соблюдать более строгие правила закупки, хранения устройств и контроля доступа. Удалённые партнёры, по версии компании, не представляли непосредственной угрозы, но не соответствовали новым требованиям.