Trezor попередив про можливий апаратний імплант у Safe 5 з продажу CryptoBilis

Що відомо про підозрілий пристрій

Виробник отримав звернення від користувача з Індонезії через програму відповідального розкриття вразливостей. Йшлося про гаманець Trezor Safe 5, купений у серпні через продавця CryptoBilis на маркетплейсі Tokopedia.

Заявник описав додаткову плату, встановлену між основною платою і екраном пристрою. На ній нібито є модуль стільникового зв’язку та антена. За його описом, пристрій зчитує відображені на екрані дані, зокрема резервну копію гаманця, і передає їх мобільною мережею щоразу, коли гаманець підключають до живлення.

Компанія отримала фото, чек і провела відеоінтерв’ю із заявником. Лабораторної перевірки ще немає, проте в Trezor вважають повідомлення достовірним.

«Ми ще не отримали пристрій, щоб підтвердити це повідомлення, але на підставі опису клієнта та відеоінтерв’ю вважаємо його достовірним»

Trezor, виробник апаратних гаманців

Зв’язок із атакою на гаманці Ledger

Інцидент пов’язаний із розслідуванням атаки на ланцюг постачання гаманців, які продавав CryptoBilis. Ledger почала перевіряти скарги клієнтів на втрату коштів 9 жовтня 2026 року, а згодом підтвердила несанкціонований апаратний імплант щонайменше в одному пристрої.

13 жовтня команда Ledger Donjon оприлюднила технічні подробиці. Знайдений компонент міг зчитувати екран і передавати seed-фразу через LTE. Після початку розслідування Trezor попросив CryptoBilis припинити продаж, і продавець погодився.

• З 19 жовтня Trezor отримав на перевірку чотири повернуті пристрої: один Safe 7, два Safe 5 і один Safe 3.
• Ознак втручання в них не знайшли.
• Виробник не виключає, що інші пристрої могли бути скомпрометовані.

Trezor заявив, що не знає автора атаки і не робить висновків про зв’язок між імплантами Ledger і Trezor. Компанія співпрацює з Ledger та іншими учасниками розслідування, а також залучила SEAL 911, службу екстреної допомоги Security Alliance.

Що робити тим, хто купив через CryptoBilis

Покупцям будь-якої моделі, які з березня 2026 року взяли пристрій через CryptoBilis, компанія рекомендує негайно діяти. Конкретні кроки залежать від стану пристрою:

1. Гаманець уже в роботі: перенести активи в новий гаманець із новою seed-фразою якнайшвидше. Поновлення старого бекапу на іншому девайсі не прибирає загрозу, якщо його могли перехопити.
2. Нового апаратного гаманця немає: поки що зберігати криптоактиви в софтверному гаманці чи на біржі, якій користувач довіряє.
3. Пристрій іще не запущено: не вмикати його і не імпортувати в нього старий бекап.

Альтернатива для постраждалих: отримати новий пристрій Trezor напряму від виробника або ваучер для купівлі заміни. Для цього треба зберегти пристрій CryptoBilis і звернутися до служби підтримки Trezor. Самостійно перевіряти пристрій на імплант зважуванням чи розбиранням не варто, адже для користувачів немає жодного надійного методу.

Окремо компанія попередила про фішинг. Шахраї можуть писати, телефонувати або надсилати листи від імені Trezor. Підтримка Trezor ніколи не вимагає seed-фразу.

Попередні інциденти з апаратними гаманцями

Серед недавніх подій у цій сфері є й інші інциденти. Ще раніше зловмисники вкрали приблизно 1367 BTC, а це майже 88,6 млн доларів, у власників Coldcard.

Trezor також повідомляв про витік персональних даних 13 689 клієнтів через злам логістичного партнера ShipMonk. У вересні 2026 року компанія попереджала про компрометацію стороннього email-провайдера, інфраструктуру якого використали для фішингових листів.

Keystone також зазнала витоку даних покупців. Зловмисники зламали офіційний портал і отримали імена, контактні дані, адреси доставки та історію замовлень. Приватні ключі й seed-фрази, за заявою компанії, не постраждали.

Що це означає для споживачів

• Покупцям CryptoBilis із березня 2026 року найбезпечніший крок — перенесення коштів у новий гаманець, адже перевірити пристрій самостійно не вийде.
• Рекомендації Trezor стосуються всіх моделей, придбаних через цього продавця, а не лише Safe 5.
• Ризик фішингу зростає після розголосу, тож повідомлення від імені виробника варто перевіряти через офіційні канали.

Часті питання