Компания Trezor, специализирующаяся на производстве аппаратных криптовалютных кошельков, объявила о получении сообщений о наличии предполагаемого вредоносного аппаратного компонента внутри кошелька Trezor Safe 5, проданного через одного из ее официальных дистрибьюторов в регионе Юго-Восточной Азии — дистрибьютора под названием CryptoBilis.
Хотя компания еще не получила само устройство для тщательного анализа и окончательного подтверждения наличия этого вредоносного элемента, она поспешила выпустить официальное предупреждение для потенциальных пользователей, призывая их перенести свои приватные ключи и цифровые активы на известные безопасные кошельки в качестве немедленной меры предосторожности для защиты своих средств.
Детали взлома и цепочки поставок
Согласно данным компании, история началась с жалобы пользователя из Индонезии, который приобрел кошелек Safe 5 через платформу Tokopedia у вышеупомянутого дистрибьютора в августе 2026 года. Когда пользователь открыл устройство, он обнаружил несанкционированную дополнительную печатную плату, помещенную между основной платой кошелька и экраном. Эта плата содержала модуль сотовой связи и модуль беспроводной связи.
Предварительная неподтвержденная информация указывает на то, что этот дополнительный компонент способен считывать данные, отображаемые на экране кошелька, включая сид-фразу (фразу восстановления) кошелька, а затем отправлять их по сотовой сети после подключения устройства к питанию или его использования. Стоит отметить, что тот же дистрибьютор (CryptoBilis) ранее был замешан в аналогичном инциденте с кошельками Ledger в том же месяце, причем внедренные компоненты выглядели схожими по форме и функциям на обоих устройствах.
Немедленные меры и реструктуризация дистрибьюторской сети
Вслед за инцидентом с Ledger и до получения каких-либо четких указаний на повреждение ее собственной продукции компания Trezor немедленно прекратила продажи своих устройств через дистрибьютора CryptoBilis с 9 октября 2026 года. Позже компания объявила о планах реструктурировать и ужесточить контроль над своей сетью дистрибьюторов и импортеров по всему миру для обеспечения более высокого уровня безопасности цепочек поставок.
Trezor подтвердила, что у нее пока нет информации о каких-либо средствах, украденных в результате этой атаки на цепочку поставок, и пообещала опубликовать результаты расследования сразу после получения фактического устройства и его проверки. С другой стороны, устройства Ledger столкнулись с растущим числом сообщений о финансовых потерях пользователей, кульминацией чего стало заявление полиции Сингапура, добавившее около 3,5 млн долларов к убыткам от тех атак.
Рекомендации для пострадавших пользователей
Trezor порекомендовала пользователям, которые приобрели любые устройства через дистрибьютора CryptoBilis начиная с марта 2026 года, ни в коем случае не настраивать и не использовать их. Что касается тех, кто уже воспользовался ими, компания посоветовала им быстро перевести свои средства на вновь созданный кошелек с совершенно новой фразой восстановления.
Компания также объявила, что покупатели с действительным подтверждением покупки могут связаться с ней для получения запасного устройства или подарочного сертификата на новое устройство, подчеркнув при этом, что вес устройств не является надежным или точным способом определить, подвергались ли они физическому вскрытию.