BTC
ETH
USDT
BNB
XRP
SOL
TRX
ZEC
DOGE
XMR
ADA
BCH
LTC
GRAM
DASHКомпания Trezor выпустила экстренное предупреждение для своих клиентов. Trezor crypto кошельки модели Safe 5, приобретённые через одного из реселлеров в Юго-Восточной Азии, могли быть физически модифицированы для кражи средств. Внутри устройства нашли дополнительную плату с сотовым модулем, способную считывать резервную фразу прямо с экрана и отправлять её по мобильной сети.
Шпионская плата внутри Trezor crypto кошелька
История началась не с самого Trezor, а с конкурента. 9 октября компания Ledger начала расследовать жалобы клиентов, которые теряли средства после покупки аппаратных кошельков у продавца CryptoBilis. Расследование показало, что часть устройств подверглась физическому вмешательству в рамках сложной атаки на цепочку поставок - то есть устройства взламывали ещё до того, как они попадали на прилавок магазина.
Поскольку CryptoBilis был одновременно официальным реселлером и для Trezor, компания в тот же день исключила партнёра из списка авторизованных продавцов и начала проверку устройств, проданных через эту сеть. Это уже не первый случай, когда крипто-индустрия сталкивается с крупными потерями из-за действий злоумышленников - достаточно вспомнить историю с Binance, где ущерб оценили в $6,3 миллиарда, хотя там схема атаки была совсем иной.
Как нашли имплант в Trezor Safe 5
28 октября служба безопасности Trezor получила сообщение от клиента из Индонезии, который купил Trezor Safe 5 через маркетплейс Tokopedia ещё в августе. По его словам, внутри корпуса между основной платой и экраном была установлена дополнительная плата с антенной и сотовым модулем.
Имплант способен считывать всё, что отображается на экране, включая резервную копию кошелька, и передавать эту информацию по мобильной сети каждый раз, когда устройство подключается к питанию.
Trezor получила фотографии устройства и провела видеоинтервью с пострадавшим пользователем, но физически прибор в лабораторию компании ещё не поступил. Несмотря на это, в Trezor решили не дожидаться официального подтверждения и сразу предупредить всех потенциально затронутых клиентов, чтобы не оставлять их без защиты. Любопытно, что сам обнаруживший имплант пользователь успел вывести средства ещё до того, как заметил постороннюю плату - то есть деньги он не потерял, но риск был реальным.
Что делать владельцам устройств от CryptoBilis
Главный совет компании звучит однозначно - просто перенести резервную фразу со скомпрометированного устройства на новый аппаратный кошелёк не поможет, потому что сама фраза уже могла быть скомпрометирована и передана третьим лицам. Вместо этого Trezor рекомендует следующее:
- немедленно создать новый сид на проверенном устройстве и перевести туда все средства;
- если нового аппаратного кошелька под рукой нет, временно использовать знакомый программный кошелёк или проверенную биржу, внимательно сверяя адрес получателя до отправки;
- если устройство ещё не настраивалось, не включать его и не вводить на нём существующую сид-фразу вообще.
Всем клиентам, купившим устройства у CryptoBilis в указанный период, обещают бесплатную замену или ваучер на покупку нового устройства через Trezor Support. Компания отдельно предупредила: злоумышленники наверняка попробуют воспользоваться паникой вокруг инцидента и начнут рассылать фишинговые письма и звонки якобы от имени Trezor. Поэтому любые обращения стоит проверять через официальные каналы trezor com, а не переходить по ссылкам из подозрительных писем.
Trezor ledger - две похожие истории за одну неделю
Совпадение по времени выглядит почти символично. На этой неделе полиция Сингапура сообщила, что пользователи криптокошельков потеряли около $3,5 миллиона из-за модифицированных устройств Ledger. Зафиксировано как минимум два случая с 10 сентября, и первоначальное расследование показало, что некоторые устройства, проданные через локальные розничные магазины, содержали вредоносные компоненты, способные красть сид-фразы и приватные ключи без ведома владельца.
Сравнение trezor ledger в контексте этих инцидентов показывает общую проблему всей отрасли аппаратных кошельков - уязвимость не в самом софте, а в физической цепочке поставок между производителем и покупателем. Оба производителя подчёркивают: сама архитектура устройства остаётся надёжной, пока оно не прошло через руки недобросовестного посредника.
Почему это тревожный сигнал для всей индустрии
Для обычного пользователя эта история - неприятное напоминание о том, что даже идеальная криптография не спасает, если физическое устройство попало к вам не напрямую от производителя. Любой trezor model, купленный не через trezor shop или официальный trezor online магазин, а через сомнительного посредника, маркетплейс или "выгодное предложение" от незнакомого продавца, несёт дополнительный риск.
Это касается не только hardware-кошельков как таковых, но и всей экосистемы вокруг них - интеграции вроде metamask trezor, где устройство используется как внешний подписант транзакций, тоже бессмысленны с точки зрения безопасности, если сама сид-фраза уже утекла через скрытый чип. Любой trezor coin, хранящийся на скомпрометированном устройстве, фактически оказывается доступен третьим лицам в момент подключения гаджета к сети.
Пока в Trezor заявляют, что не знают, кто стоит за атакой, и не располагают сообщениями о пострадавших через других реселлеров или в других регионах. Похожие истории с Ledger уже случались и раньше - был случай, когда злоумышленники, укравшие деньги через имплант в устройстве, сами лишились $4,8 миллиона в биткоине из-за ошибки в собственной схеме. Индустрия учится на подобных инцидентах медленно, но каждый новый случай заставляет производителей ужесточать контроль за цепочкой поставок.
Что в итоге
Пока физические атаки на аппаратные кошельки остаются относительно редкими, но каждая такая история напоминает - угрозы для крипто-хранилищ не ограничиваются фишингом и уязвимостями смарт-контрактов. Пока индустрия разбирается с подделанными платами и SIM-модулями внутри устройств, на горизонте маячат и куда более фундаментальные риски вроде развития квантовых вычислений, способных угрожать криптографии биткоина. На этом фоне простое правило "покупай устройство только у производителя" становится не паранойей, а базовой гигиеной для любого держателя крипты.
