Производитель аппаратных кошельков Trezor подтвердил обнаружение вредоносных аппаратных имплантов в трех устройствах Safe 5, проданных через реселлера CryptoBilis в Юго-Восточной Азии. Как сообщила компания 12 ноября 2026 года, устройства были реализованы в период с 20 августа по 23 сентября 2026 года. Импланты представляли собой дополнительные печатные платы с сотовыми модулями и антеннами, размещенные между основной платой и сенсорным экраном.
Расследование началось 28 октября 2026 года после сообщения от клиента через программу ответственного раскрытия информации. Покупатель заметил подозрительный компонент в Safe 5, приобретенном в августе через маркетплейс Tokopedia. Уже 30 октября Trezor выпустила предварительное предупреждение, а после лабораторного анализа подтвердила факт физического вмешательства. Всего специалисты изучили 48 устройств: одно — непосредственно в лаборатории, остальные — по фотографиям внутренних компонентов. В трех случаях были подтверждены импланты.
По данным технического отчета, вредоносные платы могли перехватывать seed-фразы и парольные фразы при создании или восстановлении кошелька. Собранная информация шифровалась и передавалась по сотовым сетям на инфраструктуру злоумышленников. Важно, что импланты не изменяли прошивку и Secure Element, из-за чего стандартные проверки целостности ПО не могли выявить угрозу.
11 ноября 2026 года Trezor выпустила прошивку версии 2.13.1. Патч призван блокировать дальнейший сбор данных с затронутых устройств. Однако компания подчеркнула, что обновление не отменяет риска для seed-фраз, которые могли быть скомпрометированы ранее. Покупателям, приобретавшим продукцию у CryptoBilis с марта 2026 года, рекомендовано немедленно перевести активы на новые кошельки с заново сгенерированными фразами восстановления. Восстановление старой seed-фразы на другом устройстве не устраняет опасность, если она уже попала к атакующим.
Параллельно компания объявила о сокращении сети авторизованных реселлеров примерно на 80% и ужесточила требования к хранению, обработке и дистрибуции устройств. Отношения с CryptoBilis были прекращены еще 9 октября 2026 года на фоне более ранних сообщений об аналогичных угрозах в устройствах Ledger, связанных с тем же дистрибьютором. Trezor также предупредила о возможных фишинговых атаках и мошеннических предложениях по замене устройств.
На момент публикации отчета убытков у клиентов не зафиксировано. В других моделях Trezor и в каналах, не связанных с CryptoBilis, признаков вмешательства не обнаружено. Тем не менее происшествие вновь подчеркивает ограничения безопасности аппаратных кошельков: даже при защите ключей в специализированном чипе компрометация физических компонентов может раскрыть данные до подтверждения транзакций.
