Un portofel Trezor cumpărat de la reseller-ul CryptoBilis ar fi ascuns un implant celular care scurgea fraza de recuperare

Portofelele hardware există tocmai pentru a ține cheile private departe de internet. Un raport făcut public de Trezor pe 30 octombrie 2026 descrie un dispozitiv care făcea exact opusul: un Trezor Safe 5, achiziționat prin reseller-ul CryptoBilis din Asia de Sud-Est, cu o placă de circuit neautorizată în interior, care ar citi fraza de recuperare de pe ecran și ar transmite-o prin rețeaua mobilă.

Ce s-a întâmplat

Sesizarea a ajuns la Trezor pe 28 octombrie, de la un client din Indonezia care cumpărase portofelul în august, prin platforma Tokopedia, din magazinul CryptoBilis. Când a deschis dispozitivul, clientul a descoperit o placă suplimentară montată între placa de bază și afișaj. Judecând după fotografiile și descrierea lui, placa are un modem celular și o antenă. Implantul pare să capteze tot ce apare pe ecran, inclusiv copia de siguranță a portofelului, pe care utilizatorii Trezor o văd o singură dată, sub forma frazei de recuperare, la configurare, și să trimită datele ori de câte ori dispozitivul este alimentat prin USB.

Trezor nu a avut încă portofelul în propriul laborator. A discutat cu clientul într-un apel video, a analizat imaginile și organizează expedierea unității pentru analiză. Compania a decis să nu aștepte confirmarea: a considerat raportul suficient de credibil încât tăcerea i-ar fi lăsat expuși, între timp, pe ceilalți cumpărători CryptoBilis.

Important de reținut: clientul își mutase deja fondurile înainte de a descoperi placa, iar Trezor spune că, până acum, niciun cumpărător CryptoBilis nu i-a raportat pierderi. Trezor nu poate vedea ce dețin clienții săi, așa că lipsa raportărilor nu este o dovadă că nimic nu a fost furat.

Un tipar, nu un caz izolat

Nu este prima dată când apare numele CryptoBilis. Trezor a încheiat relația de reseller cu compania pe 9 octombrie, după ce Ledger a început să investigheze pierderi suferite de propriii clienți care cumpăraseră dispozitive de la același reseller. Ledger a declarat între timp că portofelul cel puțin unui client afectat conținea un implant hardware neautorizat, conceput să capteze fraza de recuperare la configurare.

Trezor spune că placa găsită în Safe 5 pare să se comporte ca implanturile semnalate în dispozitivele Ledger, dar refuză o comparație directă cât timp investigațiile continuă, pentru că cei doi producători își construiesc hardware-ul foarte diferit. Nimeni nu a fost identificat public ca responsabil.

Separat, Poliția din Singapore a emis pe 28 octombrie un avertisment în care arată că portofele Ledger cumpărate din anumite magazine fizice din Singapore conțineau componente hardware malițioase, capabile să capteze fraze de recuperare sau chei private. Cel puțin două cazuri au fost raportate acolo de pe 10 septembrie, iar ancheta este în desfășurare.

Luate împreună, aceste semnale indică o operațiune de alterare a dispozitivelor undeva în lanțul de distribuție din Asia de Sud-Est, care afectează mai mulți producători de portofele.

De ce contează

Întregul model de securitate al unui portofel hardware se bazează pe presupunerea că dispozitivul în sine este de încredere. Un implant așezat între procesor și ecran ocolește complet elementul securizat, verificările de firmware și PIN-ul. Pur și simplu urmărește ce îi arată dispozitivul legitim utilizatorului. Fraza de recuperare apare pe ecran o singură dată, la configurare, iar acea unică expunere este suficientă pentru a goli toate conturile derivate din ea, acum sau oricând în viitor.

Tot de aceea, restaurarea aceleiași fraze pe un dispozitiv curat nu ajută la nimic. Odată ce fraza a ieșit din cameră, portofelul pe care îl protejează este compromis, indiferent ce hardware folosiți ulterior.

Trezor subliniază și că proprietarii nu pot verifica în mod fiabil un dispozitiv pe cont propriu. Clientul din Indonezia a observat o diferență de greutate, dar variațiile mici au multe cauze inofensive, iar deschiderea carcasei nu este nici sigură, nici concludentă. Așteptați-vă ca escrocii să profite de știre cu e-mailuri, scrisori și apeluri telefonice de tip „verificare de securitate” care cer fraza de recuperare. Acestea sunt întotdeauna frauduloase.

Ce este de făcut

Recomandările Trezor se aplică oricărui model Trezor cumpărat de la CryptoBilis după martie 2026, prin orice canal care a vândut stoc furnizat de CryptoBilis, inclusiv magazinul său de pe Tokopedia:

• Dacă portofelul este în uz, creați un portofel complet nou, cu o frază de recuperare generată de la zero, și mutați fondurile acolo cât mai repede. Nu refolosiți vechea frază nicăieri.
• Dacă nu aveți alt portofel hardware de încredere, mutați temporar fondurile într-un portofel software reputat sau într-un cont de exchange pe care îl folosiți deja, în loc să le lăsați unde sunt.
• Dacă dispozitivul nu a fost încă folosit, nu îl configurați și nu introduceți niciodată o frază de recuperare existentă în el.
• Păstrați dispozitivul și contactați suportul Trezor; compania oferă o unitate de schimb sau un voucher care îi acoperă costul.
• Dacă nu știți sigur de unde provine portofelul, verificați numele vânzătorului de pe bon sau întrebați suportul Trezor.

Pentru organizațiile care dețin criptomonede sau păstrează chei pe hardware, lecția mai largă ține de asigurarea lanțului de aprovizionare: cumpărați direct de la producător sau dintr-un canal verificat, păstrați o evidență a provenienței fiecărui dispozitiv și tratați orice unitate cu origine incertă drept compromisă până la proba contrarie. Aceeași disciplină se aplică software-ului și furnizorilor din jurul acestor dispozitive. Angajamentele noastre de Bug Hunting includ o analiză a lanțului de aprovizionare, care urmărește de unde provin componentele, dependențele și terții din mediul dumneavoastră și unde s-ar putea strecura un atacator, înainte ca o verigă alterată din lanț să ajungă la dumneavoastră.