Trezor нашла имплантаты в трёх Safe 5 из CryptoBilis и сократила реселлеров примерно на 80%

Trezor сообщила, что три устройства Safe 5, приобретённые у CryptoBilis, содержали несанкционированные аппаратные имплантаты. Это расследование компания опубликовала 12 ноября. Одновременно она сократила сеть реселлеров примерно на 80%, а 11 ноября выпустила прошивку 2.13.1, которая не даёт выявленным имплантатам перехватывать данные.

Все три устройства куплены в период с 20 августа по 23 сентября, либо напрямую у CryptoBilis, либо через её магазины на Tokopedia и Shopee. Одно устройство Trezor исследовала в лаборатории. Ещё два имплантата компания выявила по фотографиям, которые прислали владельцы. Всего в Trezor обратились 48 клиентов, и их устройства проверялись в лаборатории или по фото. Компания заявила, что не получала сообщений о потере средств клиентов из-за этих модулей.

Планы сократить число реселлеров появились в октябре. Trezor сообщила, что оставшиеся партнёры должны соответствовать более строгим требованиям к закупке, хранению и доступу к устройствам. Удалённых партнёров компания назвала заслуживающими доверия и не представляющими непосредственной угрозы.

Как работает имплантат

Имплантат установлен между экраном и основной платой аппаратного кошелька. По анализу Trezor, он копирует отображаемую информацию и не меняет прошивку или чип Secure Element. Дополнительная плата записывает фразы восстановления, которые показывает устройство при создании или восстановлении кошелька, а также парольные фразы, которые защищают отдельные кошельки.

Перехваченные данные имплант шифрует и отправляет через мобильную сеть на сервер злоумышленников. Без сигнала он сохраняет данные и повторяет передачу, пока она не пройдёт. Trezor считает, что схема такая же, как у имплантатов, найденных в некоторых устройствах Ledger. Там злоумышленники покупали подлинные устройства, модифицировали их и снова продавали через реселлеров в Юго-Восточной Азии. Ledger подтвердила имплантат в кошельке одного из пострадавших клиентов в октябре.

Исследование Trezor касалось только Safe 5 от CryptoBilis. Проверка устройств других региональных реселлеров не выявила признаков взлома, и компания не сообщала о подтверждённых имплантатах в других моделях.

Почему обновления недостаточно

Прошивка 2.13.1 защищает от перехвата новыми средствами, но резервные копии, которые уже попали под риск, остаются скомпрометированными. Поэтому замена устройства не помогает, если снова использовать ту же фразу восстановления. Trezor рекомендует переводить средства на кошельки, созданные заново. Владельцам устройств с подозрением на взлом компания советует сохранить их и не настраивать и не использовать до ответа службы поддержки.

Что делать покупателям CryptoBilis

Право на замену распространяется на все модели, купленные у CryptoBilis начиная с марта. Из-за ограничений на доставку может понадобиться другая модель с доплатой или возмещением разницы, доставка в другую страну либо возврат средств. Замену нужно оформлять через официальную службу поддержки Trezor. Покупателям, которые сомневаются в происхождении устройства, компания рекомендует его проверить.

Trezor предупредила, что мошенники могут выдавать себя за сотрудников, которые предлагают замену или возврат. Компания повторила, что никогда не запрашивает фразы восстановления. Trezor продолжает сотрудничать с SEAL 911, службой реагирования Security Alliance на криптоинциденты. Компания также пообещала вознаграждение клиенту, который первым сообщил об имплантате.