Виробник апаратних криптогаманців Trezor оприлюднив результати розслідування щодо шкідливих апаратних імплантів у пристроях Safe 5, придбаних у реселера CryptoBilis. 

Компанія підтвердила три випадки втручання та випустила оновлення прошивки, яке блокує збір даних виявленими модулями. Інцидент стосується безпеки приватних ключів і seed-фраз, які дають доступ до криптовалютних активів користувачів.

За даними Trezor, усі три пристрої були придбані в період із 20 серпня до 23 вересня 2026 року через магазини CryptoBilis на Tokopedia та Shopee або безпосередньо в реселера. Один гаманець компанія дослідила у власній лабораторії, ще два ідентифікувала за фотографіями внутрішніх компонентів, надісланими власниками.

ТОП 15 холодних гаманців: розбираємося, що це таке, та обираємо найкращий гаманець

07.07.2026

Читати

Після жовтневих повідомлень про можливе втручання Trezor попросила клієнтів CryptoBilis звернутися до служби підтримки. Наразі компанія отримала 48 звернень і перевіряє пристрої. Вона також оглянула гаманці інших реселерів у регіоні, але не виявила ознак підміни. За словами виробника, жоден клієнт не повідомив про втрату коштів.

Як працює імплант і що він може викрасти

Команда Trezor дослідила прошивку виявленого модуля. Він являє собою додаткову плату, встановлену між основною платою пристрою Safe 5 та його екраном. Імплант не змінює роботу гаманця, а лише зчитує інформацію, яка відображається на дисплеї, зокрема введені користувачем дані.

Коли на екрані з’являються слова для відновлення гаманця, модуль розпізнає та зберігає їх. Це стосується як seed-фрази, яку пристрій показує під час створення резервної копії, так і слів, які користувач вводить для відновлення наявного гаманця. Так само імплант може перехопити парольну фразу (passphrase), якщо вона відображається на екрані.

Зібрану інформацію модуль шифрує та передає через мобільну мережу на сервер зловмисників. Якщо підключитися не вдається, він зберігає дані та повторює спроби передавання. У Trezor зазначили, що принцип роботи імпланта подібний до модулів, раніше виявлених у пристроях Ledger, але адаптований до конструкції Safe 5.

Trezor оновила прошивку та посилила контроль реселерів

11 листопада 2026 року компанія випустила версію прошивки 2.13.1. Вона містить захист, який не дозволяє виявленим імплантам збирати інформацію на пристроях із цим оновленням. Водночас виробник наголошує: оновлення не може захистити seed-фразу, якщо її вже перехопили до встановлення нової прошивки.

Тому користувачам, які придбали гаманець через CryptoBilis і вже налаштували його, рекомендують якнайшвидше перевести активи на новий гаманець із новою seed-фразою. Повторно використовувати стару фразу не можна — навіть на іншому апаратному чи програмному гаманці. Якщо немає іншого безпечного апаратного пристрою, Trezor радить тимчасово скористатися знайомим програмним гаманцем або криптобіржею.

Тим, хто ще не налаштував придбаний у CryptoBilis пристрій, рекомендують не активувати його та не вводити на ньому резервну фразу від наявного гаманця.

Крім того, Trezor скоротила мережу реселерів приблизно на 80%. За словами компанії, навіть партнери, які не становили безпосередньої загрози, були виключені через невідповідність новим суворішим вимогам до постачання, зберігання пристроїв і контролю доступу до них.

Компанія також пропонує заміну пристроїв усім, хто придбав Trezor через CryptoBilis із березня 2026 року, а не лише власникам трьох підтверджено скомпрометованих Safe 5. Для оформлення заміни необхідно зберегти пристрій і звернутися до служби підтримки Trezor. Залежно від країни доставки клієнтам можуть запропонувати іншу модель із компенсацією різниці в ціні, доставку на адресу в іншій країні або повернення коштів.

Нагадаємо, раніше Trezor виключила CryptoBilis зі списку реселерів після повідомлень про продаж через нього модифікованих пристроїв Ledger. Після цього компанія почала перевіряти гаманці Trezor, придбані в цього продавця.

Виробник закликав користувачів не передавати seed-фрази нікому, зокрема особам, які представляються співробітниками служби підтримки. Trezor наголошує, що її представники ніколи не запитують резервні фрази, а питання щодо підозрілих пристроїв потрібно вирішувати лише через офіційну службу підтримки.

Відмітимо, що Trezor вже заявляв про витік даних понад 13 000 клієнтів через злом ShipMonk, скаржився на нову хвилю фішингу та повідомляв про злом стороннього email-провайдера.