Trezor проверяет сообщение о шпионской плате в Safe 5 от CryptoBilis
Trezor предупредил о возможном аппаратном импланте в кошельке Safe 5, купленном в августе 2026 года у CryptoBilis через Tokopedia в Индонезии. По описанию владельца, внутри устройства находилась дополнительная плата с модулем сотовой связи, способная считывать содержимое экрана, включая резервную сид-фразу, и передавать данные при подключении питания. Производитель считает сообщение достаточно достоверным для срочного предупреждения клиентов, однако сам подозрительный кошелек еще не поступил в лабораторию Trezor. Подтвержденных потерь средств у пользователей Trezor в связи с этим случаем пока нет.Что именно обнаружил владелец Trezor Safe 5
28 октября служба безопасности Trezor получила сообщение от пользователя из Индонезии, который приобрел Safe 5 у CryptoBilis. В официальном предупреждении Trezor говорится, что клиент обнаружил внутри корпуса дополнительную электронную плату, установленную между основной платой устройства и экраном.По представленному владельцем описанию, на дополнительной плате находились модуль сотовой связи и антенна. Предполагаемый имплант мог считывать данные, передаваемые на дисплей, распознавать резервную фразу кошелька во время первоначальной настройки и отправлять полученную информацию по мобильной сети после подключения устройства к питанию.
Такой сценарий принципиально отличается от удаленного взлома прошивки или криптографии аппаратного кошелька. Если описание подтвердится, атакующим не требовалось извлекать секрет из защищенного элемента устройства - достаточно было физически перехватывать то, что пользователь видит на экране при создании резервной копии.
Почему Trezor пока называет имплант возможным
Устройство еще не прошло лабораторное исследование производителя. Trezor получил фотографии, подробное описание и провел видеоинтервью с человеком, сообщившим об импланте, но сам Safe 5 пока находится в процессе отправки специалистам компании.Trezor прямо указывает, что технически не подтвердил работу дополнительной платы собственными измерениями. Компания решила не ждать окончания экспертизы, поскольку конструкция на фотографиях и описание клиента показались специалистам достаточно убедительными, а задержка могла оставить других покупателей CryptoBilis под потенциальным риском.
На момент предупреждения Trezor не получил сообщений о потере средств из-за этого предполагаемого импланта. Владелец обнаружившего его Safe 5 успел вывести активы с кошелька до вскрытия устройства.
CryptoBilis уже оказался в центре подтвержденной атаки на Ledger
Контекст делает сообщение о Trezor значительно серьезнее. 9 октября Ledger начал расследовать массовые кражи у клиентов, покупавших аппаратные кошельки через того же продавца CryptoBilis. Впоследствии Ledger подтвердил наличие несанкционированного аппаратного импланта как минимум в одном из пострадавших устройств.Trezor также являлся партнером CryptoBilis в Юго-Восточной Азии, но исключил продавца из списка авторизованных реселлеров 9 октября - еще до сообщения о Safe 5. Производитель подчеркивает, что пока не получил аналогичных сообщений об устройствах, приобретенных у других продавцов.
Масштаб связанной с Ledger кражи продолжал уточняться после первых сообщений. По актуальному расследованию Bitquery, из 335 кошельков в Bitcoin, Ethereum, TRON, Solana, BNB Chain и Polygon было выведено около $102 млн. Эти потери относятся к истории Ledger и не должны приписываться владельцам Trezor.
PavRC ранее разбирал другой предел безопасности аппаратных кошельков в материале об уязвимости Coldcard и компрометации сид-фраз. Но механизм там был принципиально другим: проблема возникала при генерации ключей, тогда как в истории CryptoBilis речь идет о возможном физическом вмешательстве в цепочку поставок.
Кому Trezor рекомендует заменить кошелек и сид-фразу
Предупреждение Trezor не распространяется на все устройства бренда. Компания выделяет конкретную группу риска - любые модели Trezor, поставленные через CryptoBilis с марта 2026 года, в том числе устройства, приобретенные через магазин этого продавца на Tokopedia.Если такой кошелек уже использовался, Trezor рекомендует создать совершенно новый кошелек с новой сид-фразой на доверенном устройстве и перевести на него средства. Простое восстановление старой резервной фразы на другом аппаратном кошельке не устраняет риск: если слова уже были перехвачены, злоумышленник сохраняет возможность восстановить те же приватные ключи.
Если устройство CryptoBilis еще не настраивалось, производитель советует не включать его для создания кошелька и не вводить в него существующую резервную фразу. Покупатели устройств CryptoBilis с марта 2026 года могут обратиться в Trezor за устройством, отправленным напрямую производителем, либо за компенсационным ваучером.
Самостоятельно вскрывать или взвешивать кошелек Trezor не рекомендует. Разница в массе не является надежным индикатором подмены, а способа достоверно проверить такой имплант в домашних условиях компания не предлагает. Если происхождение устройства неизвестно, сначала стоит проверить продавца в чеке или истории заказа.
Итог
На 2 ноября достоверно установлено не наличие подтвержденного импланта во всех Trezor Safe 5, а сообщение об одном подозрительном устройстве, поставленном через CryptoBilis. Конструкция, описанная владельцем, потенциально позволяла перехватывать сид-фразу непосредственно между основной платой и экраном и отправлять ее через сотовую сеть, но лабораторная проверка Trezor еще не завершена.Случай особенно важен из-за уже подтвержденной физической подмены устройств Ledger у того же продавца. Он показывает отдельный класс риска аппаратных кошельков: криптография самого устройства может оставаться исправной, но безопасность теряется еще до попадания товара к владельцу. Пока Trezor ограничивает предупреждение цепочкой поставок CryptoBilis с марта 2026 года и не сообщает о подобных случаях у других реселлеров.
Редакция PavRC