Trezor попереджає про підозру в шпигунському імпланті в гаманці CryptoBilis

Trezor був втягнутий у безлад CryptoBilis. Компанія заявила на X, що Safe 5, проданий через цього реселера з Південно-Східної Азії, має ознаки втручання. Це той самий реселер, з чиїх гаманців Ledger на початку цього місяця було вичерпано приблизно від 72 до 93 мільйонів доларів.

__КОРОТКИЙ_ТОКЕН_0__

Одне виправлення до способу переказу цієї інформації: це не стороннє програмне забезпечення. У власному розкритті Trezor описується апаратне забезпечення. Клієнт з Індонезії відкрив свій Safe 5 і виявив додаткову плату між основною платою та екраном, оснащену стільниковим модулем та антеною. Згідно з його звітом, плата зчитує те, що відображається на екрані, включаючи фразу відновлення, і надсилає це через мобільну мережу щоразу, коли пристрій підключено.

Він придбав гаманець у серпні через Tokopedia, де CryptoBilis керує магазином. Він повідомив про це 28 жовтня через програму відповідального розкриття інформації Trezor, і він уже перевів свої кошти з пристрою, перш ніж знайшов дошку. Trezor каже, що жоден покупець CryptoBilis не повідомив їм про збитки.

Є одне велике застереження. Trezor ще не бачив пристрій. Вони оцінили звіт як достовірний, ґрунтуючись на фотографіях та відеоінтерв'ю з репортером, і кажуть, що їхня команда безпеки огляне пристрій, як тільки він прибуде. Все, що буде наведено нижче, залежить від цього.

Що Trezor хоче від покупців

Будь-хто, хто придбав Trezor у CryptoBilis з березня 2026 року, повинен перевести кошти на новий гаманець з новим початковим значенням і не використовувати стару резервну копію на іншому пристрої. Якщо немає запасного апаратного гаманця, Trezor пропонує програмний гаманець або звичну біржу як тимчасове рішення. Пристрої, які ніколи не були налаштовані, повинні залишатися такими, як є. Покупці, яких це стосується, можуть отримати заміну безпосередньо з доставкою або ваучер, а Trezor просить їх зберегти пристрій CryptoBilis та звернутися до служби підтримки.

Також очікується фішинг. Ймовірні фальшиві електронні листи, листи та телефонні дзвінки, і Trezor повторює, що ніхто зі служби підтримки не запитуватиме фразу відновлення.

Марк Карпелес, який публічно аналізує підроблені гаманці з моменту виходу історії з Ledger, посилив попередження словами «Ledger не єдиний», і запропонував покрити витрати на доставку та проаналізувати будь-який пристрій, щодо якого люди не впевнені.

__КОРОТКИЙ_ТОКЕН_1__

Як розігралася сторона Леджера

Ledger розпочав розслідування 9 жовтня після того, як клієнти CryptoBilis повідомили про спустошені гаманці. Днем пізніше компанія підтвердила, що на одному з уражених пристроїв був несанкціонований імплантат. 13 жовтня команда безпеки Donjon опублікувала принцип його роботи: імплантат знаходиться всередині корпусу та зчитує дані з екрана, а коли під час налаштування з'являється фраза з 24 слів, мікроконтролер декодує її та відправляє через LTE через підготовлену eSIM-картку. Елемент безпеки, операційна система та підписи транзакцій залишаються недоторканими, тому підроблений Ledger виглядає та поводиться нормально.

__КОРОТКИЙ_ТОКЕН_2__

Суму грошей важко точно визначити. Bitquery нарахував близько 93,2 мільйона доларів на 315 гаманцях на шести блокчейнах, Specter оцінив її у понад 86 мільйонів доларів, а tanuki42 починав із 72 мільйонів доларів. Звіт Zetter сягає 100 мільйонів доларів. Ledger не підтвердив жодної з цих даних, хоча стверджує, що кожна підтверджена втрата пов'язана з CryptoBilis. Tether заморозив 10 мільйонів доларів у USDT, пов'язаних з крадіжкою, згідно з CoinDesk.

Збитки також не обмежилися клієнтами одного реселер-магазину. MediaMarkt Saturn припинила продаж пристроїв Ledger у своїх німецьких магазинах та онлайн після того, як один із клієнтів повідомив про імплантат, а поліція Сінгапуру 28 жовтня опублікувала попередження щодо пристроїв Ledger, придбаних у деяких місцевих роздрібних торговців. Генеральний директор Ledger Паскаль Готьє заявив, що він особисто веде розслідування.

Проблема «Жодного доказу»

Власна хронологія Trezor трохи дивна. За їхніми словами, CryptoBilis був закритий 9 жовтня, в день, коли почалися проблеми Ledger. 13 жовтня компанія повідомила реселерам, що скорочує свою мережу, а авторизації закінчуються 1 січня 2027 року, а головний комерційний директор Денні Сандерс написав, що «немає жодного доказу того, що пристрої Trezor були скомпрометовані».

__КОРОТКИЙ_ТОКЕН_3__

Того ж дня журналістка Кім Зеттер повідомила, що хакер обладнання Джо Гранд знайшов імплантати у двох гаманцях Trezor та повідомив про це компанію ще в серпні. Один з них був Model T, придбаним через Facebook Marketplace у Канаді, а інший – Trezor One з магазину TikTok. Trezor відповів, що Сандерс мав на увазі нові пристрої від авторизованих реселерів, а пристрої Grand були підробками від неавторизованих продавців, про що компанія попереджала з 2022 року.

Це була атака іншого типу. Підроблені чіпи генерували попередньо завантажені початкові фрази, які зловмисники вже знали. Звіт CryptoBilis, якщо він витримає випробування, являє собою стільниковий імплантат для зчитування з екрана, подібний до того, що можна побачити в Ledgers, і він надходить через авторизований канал, що є саме тією межею, яку, за словами Trezor, не було перетнуто. Зеттер попереджав, що справи неавторизованих продавців можуть бути передвісником цього.

Чого ще ніхто не знає

Ніхто не сказав, хто за цим стоїть. Ніхто не сказав, де відбулося втручання, чи то на складі реселерів, під час транспортування, чи десь раніше. Заяви Ledger не звинувачують CryptoBilis у співучасті, і ніщо публічне не підтверджує цього. Trezor відмовляється порівнювати себе з Ledger, доки їхня лабораторія не отримає довідку, і каже, що ділиться інформацією з Ledger та іншими слідчими, а SEAL 911 консультує з питань підтримки клієнтів.

Я постійно повертаюся до основного принципу апаратного гаманця: ви не повинні довіряти нікому між заводом і вашим робочим столом. Два бренди вже отримали таке припущення через одного й того ж реселлера, і один з них досі чекає на доставку коробки.