Trezor выявил наличие шпионского имплантата в кошельке CryptoBilis.

Компания Trezor оказалась замешана в скандале с CryptoBilis. На X компания заявила, что сейф Safe 5, проданный через этого реселлера из Юго-Восточной Азии, имеет признаки взлома. Это тот же реселлер, с кошельков Ledger которого ранее в этом месяце было снято от 72 до 93 миллионов долларов.

__КОРОТКИЙ_ТОКЕН_0__

Одно уточнение к тому, как это пересказывается: речь идёт не о стороннем программном обеспечении. В собственном заявлении Trezor описывается аппаратная часть. Клиент из Индонезии вскрыл свой Safe 5 и обнаружил дополнительную печатную плату между основной платой и экраном, оснащённую модулем сотовой связи и антенной. Согласно его отчёту, плата считывает то, что отображается на экране, включая фразу восстановления, и отправляет её по мобильной сети всякий раз, когда устройство подключается к сети.

Он купил кошелек в августе через Tokopedia, где CryptoBilis управляет магазином. 28 октября он сообщил об этом через программу ответственного раскрытия информации Trezor, и к тому моменту, когда он обнаружил плату, он уже вывел свои средства с устройства. Trezor утверждает, что ни один покупатель CryptoBilis не сообщал им о потере средств.

Однако есть одно важное замечание. Компания Trezor еще не видела устройство. Она сочла сообщение достоверным на основании фотографий и видеоинтервью с журналистом и заявляет, что ее служба безопасности изучит устройство после его получения. Все, что будет сказано ниже, основано на этом.

Что Трезор хочет, чтобы покупатели сделали

Всем, кто приобрел Trezor у CryptoBilis после марта 2026 года, следует перевести средства на новый кошелек с новой сид-фразой и не использовать старую резервную копию на другом устройстве. Если запасного аппаратного кошелька нет, Trezor предлагает в качестве временного решения использовать программный кошелек или знакомую биржу. Устройства, которые никогда не были настроены, должны оставаться в таком состоянии. Пострадавшие покупатели могут получить замену с доставкой напрямую или ваучер, а Trezor просит их сохранить устройство CryptoBilis и связаться со службой поддержки.

Также ожидается фишинг. Вероятны поддельные электронные письма, обычные письма и телефонные звонки, и Trezor повторяет, что никто из службы поддержки не будет запрашивать фразу восстановления.

Марк Карпелес, который публично разбирает поддельные кошельки с тех пор, как разразился скандал с компанией Ledger, усилил предупреждение, заявив: «Ledger — не единственный», и предложил оплатить доставку и анализ любого устройства, в подлинности которого у людей есть сомнения.

__КОРОТКИЙ_ТОКЕН_1__

Как развивались события по бухгалтерской книге

Компания Ledger начала расследование 9 октября после того, как клиенты CryptoBilis сообщили об опустошении своих кошельков. Днем позже она подтвердила, что на одном из затронутых устройств был обнаружен несанкционированный имплант. 13 октября команда безопасности Donjon опубликовала описание принципа его работы: имплант находится внутри корпуса и считывает данные с экрана, а когда во время настройки появляется фраза из 24 слов, микроконтроллер декодирует ее и передает по LTE через выделенную eSIM. Защищенный элемент, операционная система и подписи транзакций остаются неизменными, поэтому модифицированный Ledger выглядит и ведет себя нормально.

__КОРОТКИЙ_ТОКЕН_2__

Определить сумму сложнее. Bitquery насчитала около 93,2 миллиона долларов на 315 кошельках в шести блокчейнах, Specter оценила её более чем в 86 миллионов долларов, а tanuki42 — в 72 миллиона долларов. В отчетах Zetter сумма достигает 100 миллионов долларов. Ledger не подтвердила ни одну из этих сумм, хотя утверждает, что все подтвержденные потери связаны с CryptoBilis. По данным CoinDesk, Tether заморозила 10 миллионов долларов в USDT, связанных с кражей.

Ущерб затронул не только клиентов одного реселлера. Компания MediaMarkt Saturn прекратила продажу устройств Ledger в своих немецких магазинах и онлайн после того, как один из клиентов сообщил об имплантации устройства, а сингапурская полиция 28 октября выпустила предупреждение об устройствах Ledger, приобретенных в некоторых местных розничных магазинах. Генеральный директор Ledger Паскаль Готье заявил, что лично возглавляет расследование.

Проблема «отсутствия единого доказательства»

Собственная хронология событий от Trezor несколько запутанна. По их собственным данным, они прекратили поддержку CryptoBilis 9 октября, в день начала проблем с Ledger. 13 октября они сообщили реселлерам о закрытии своей сети, срок действия авторизаций истекает 1 января 2027 года, а главный коммерческий директор Дэнни Сандерс написал, что «нет ни единого доказательства того, что устройства Trezor были скомпрометированы».

__КОРОТКИЙ_ТОКЕН_3__

В тот же день журналистка Ким Зеттер сообщила, что хакер Джо Гранд обнаружил импланты в двух кошельках Trezor и сообщил об этом компании еще в августе. Один из них был куплен через Facebook Marketplace в Канаде, а другой — Trezor One в магазине TikTok. Trezor ответила, что Сандерс имела в виду новые устройства от авторизованных продавцов, а устройства Гранда — подделки от неавторизованных продавцов, о чем компания предупреждала еще с 2022 года.

Это были атаки другого рода. Модифицированные чипы генерировали предварительно загруженные сид-фразы, которые злоумышленники уже знали. Отчет CryptoBilis, если он подтвердится, представляет собой имплантат для чтения с экрана, подобный тем, что используются в устройствах Ledger, и он поступает по авторизованному каналу, что, по словам Трезора, и не было пересечено. Зеттер предупреждал, что случаи с неавторизованными продавцами могут быть предвестниками чего-то подобного.

Чего пока никто не знает

Никто не сказал, кто за этим стоит. Никто не сказал, где именно произошло вмешательство: на складе реселлера, во время транспортировки или где-то еще. В заявлениях Ledger CryptoBilis не обвиняется в соучастии, и ничто публичное это не подтверждает. Trezor отказывается сравнивать себя с Ledger до тех пор, пока его лаборатория не получит плату, и заявляет, что делится информацией с Ledger и другими следователями, а SEAL 911 консультирует по вопросам поддержки клиентов.

Я постоянно возвращаюсь к основной идее аппаратного кошелька: вам не нужно доверять никому между заводом-изготовителем и вашим рабочим столом. Два бренда уже столкнулись с этим предположением через одного и того же продавца, и один из них до сих пор ждет доставки.