В Trezor Safe 5, купленном у реселлера CryptoBilis, нашли аппаратный имплант: дополнительная плата внутри корпуса считывает seed-фразу с экрана и передаёт её по мобильной сети. Производитель подтвердил три таких случая и просит покупателей с марта 2026 года перевести средства в новый кошелёк с новой seed-фразой. О потерях средств среди клиентов не сообщается.
По данным Trezor, итоги расследования компания опубликовала 12 ноября: три Safe 5 с имплантом купили с 20 августа по 23 сентября 2026 года. После октябрьского предупреждения с ней связались 48 покупателей, одно устройство проверили в лаборатории, ещё два подтвердили по фотографиям владельцев. Имплант описывают как дополнительную плату между основной платой и экраном с сотовым модулем и антенной.
Ранее, 9 октября 2026 года, Ledger начала расследование потерь средств у клиентов, купивших аппаратные кошельки у CryptoBilis. Позже Ledger подтвердила, что часть устройств физически вскрыли в ходе сложной атаки на цепочку поставок. CryptoBilis был авторизованным реселлером и Trezor, поэтому компания сразу убрала его из списка продавцов и начала проверку.
Имплант работает, когда устройство подключено: он копирует всё, что показывается на экране, включая вводимые символы, и отправляет зашифрованные данные через мобильную сеть. При этом он только слушает и не меняет прошивку или Secure Element устройства. Прошивка 2.13.1, выпущенная 11 ноября, блокирует известные импланты, но не защищает seed-фразы, скопированные до обновления.
Trezor подтвердила три устройства с аппаратным имплантом и сократила сеть авторизованных реселлеров примерно на 80%, ужесточив правила для оставшихся. Всем, кто купил устройство у CryptoBilis с марта 2026 года, предлагают новый Trezor. Если нужную модель нельзя доставить в страну покупателя, предложат другую модель с возвратом разницы, доставку в другую страну или возврат денег. Старое устройство просят сохранить и связаться с поддержкой.
Если устройство уже используется, средства нужно перевести в новый кошелёк с новой seed-фразой: восстановление из бэкапа, созданного на скомпрометированном устройстве, этого не решает. Если другого аппаратного кошелька нет, временно можно перевести средства в программный кошелёк или на знакомую биржу. Никому не стоит сообщать seed-фразу: поддержка Trezor её никогда не спрашивает.
На инциденте уже пытаются заработать мошенники: они присылают поддельные письма, бумажные письма и звонят от имени поддержки. Имплант работает так же, как найденные в устройствах Ledger, но адаптирован под дисплей Trezor; технические детали компания не публикует, чтобы не помогать атакующим. Других реселлеров и моделей устройств подтверждённые случаи не касаются.
Проверить устройство самостоятельно нельзя: взвешивание ненадёжно, а открывать корпус и искать плату производитель не советует. Расследование продолжается: лаборатория проверила одно устройство, ещё два подтверждены по фотографиям. Trezor обещает обновлять публикацию, если появятся новые случаи заражения, сообщения о потерях или новые средства защиты.
