Trezor підтвердила імплантати-шпигуни в трьох гаманцях Safe 5

Власникам Trezor Safe 5, купленого в торговця CryptoBilis, одного оновлення прошивки мало. Компанія підтвердила, що в трьох таких гаманцях стояла прихована плата, яка краде фрази для відновлення доступу до криптовалюти.

Як працює прихована плата

Імплантат — додаткова плата між головною платою Safe 5 і дисплеєм. Вона підглядає за екраном і не чіпає ні справжню прошивку, ні захищений чип Secure Element. Тобто сам гаманець може працювати штатно, а шпигун сидить поруч.

Коли на екрані з'являються слова відновлення, під час створення резервної копії чи відновлення гаманця, плата їх збирає. Так само вона може захопити парольні фрази. Дані шифруються й мобільною мережею йдуть на сервер зловмисників. Немає зв'язку — плата тримає їх у собі й пробує знову, доки не вийде.

Що робити власникам

11 листопада Trezor випустила прошивку 2.13.1. За словами компанії, її захист робить нинішню партію імплантатів «марною»: на пристроях з оновленням вони нічого не захоплять.

Проте оновлення безсиле проти фраз, які плата могла зібрати до його встановлення. Тож покупцям із CryptoBilis і далі радять перенести криптовалюту на новий гаманець із новою фразою відновлення.

Заміну пристрою компанія пропонує кожному, хто купив її гаманець у CryptoBilis з березня 2026 року. Це стосується і тих, чий пристрій не визнано скомпрометованим.

Про втрату коштів через ці три гаманці ніхто з клієнтів поки не повідомляв.

Масштаб перевірки

Усе почалося в жовтні: покупець знайшов зайву плату в Safe 5, придбаному в індонезійського перепродавця. Пристрою в компанії тоді не було, тож сказати, що саме вміє ця плата, вона не могла.

Тепер лабораторія вивчила той оригінальний гаманець. Ще два заражені визначили за фотографіями, які надіслали їхні власники. Усі три куплені в CryptoBilis між 20 серпня і 23 вересня 2026 року.

Після жовтневого попередження до Trezor звернулися 48 клієнтів цього торговця. Їхні пристрої розбирали в лабораторії або оцінювали за знімками внутрішніх деталей. Підтверджені імплантати знайдено лише в Safe 5 із CryptoBilis. Гаманці інших перепродавців регіону теж перевіряли, слідів втручання там немає.

Мережу перепродавців скоротили на 80%

Через такі атаки на ланцюг постачання Trezor зменшила світову мережу перепродавців приблизно на 80%. Прибрані партнери, за її словами, були надійними, але не відповідали суворішим вимогам до безпеки постачання. Решта має дотримуватися жорсткіших правил: як отримувати пристрої, де їх зберігати і хто має до них доступ.

Про намір скоротити мережу компанія оголосила ще в жовтні, коли йшлося про зламані Ledger. Про власні заражені гаманці вона тоді ще не знала. Раніше імплантати підтвердили й у пристроях Ledger, проданих через того самого торговця, і їх пов'язали з крадіжками криптовалюти.

Джерело: BleepingComputer