Warnung von Trezor Wallet macht Risiken in der Lieferkette deutlich

Trezor warnte Kunden vor einem mutmaßlichen Hardware-Implantat in einem Safe 5, der über den Wiederverkäufer CryptoBilis gekauft worden war. CryptoBilis hatte das Unternehmen am 9. Oktober aus seinem autorisierten Netzwerk entfernt. Ein Käufer meldete, eine zusätzliche Leiterplatte gefunden zu haben. Bis zum 30. Oktober hatte Trezor das Gerät jedoch noch nicht zur Untersuchung im Labor erhalten. Das Unternehmen erklärte, es gebe keine Meldungen über Verluste von Kunden. Berechtigte Kunden, die seit März 2026 von CryptoBilis gelieferte Geräte gekauft haben, können ein Ersatzgerät oder einen Gutschein beantragen. Trezor rät betroffenen Besitzern, mit einer neuen Wiederherstellungsphrase eine Wallet zu erstellen und ihre Guthaben zu übertragen. Wurde eine alte Phrase offengelegt, schützt die Wiederherstellung mit dieser Phrase die Vermögenswerte nicht. Außerdem warnte das Unternehmen vor Phishing-Versuchen und teilte mit, dass vier weitere zurückgesandte Geräte keine Anzeichen für Manipulation aufwiesen. Die Warnung lenkt die Aufmerksamkeit erneut auf die Sicherheit der Lieferkette von Hardware-Wallets. Trezor zufolge ähnelte das mutmaßliche Implantat einem Implantat in einem separaten Fall bei Ledger. Es gibt jedoch keine öffentlich bekannten Belege, die die Vorfälle oder ihre Angreifer miteinander in Verbindung bringen. Ledger bestätigte ein Implantat in einem betroffenen Gerät, das über die Verbindung zum Bildschirm eine Wiederherstellungsphrase aus 24 Wörtern abgreifen konnte, ohne den Sicherheitschip, das Betriebssystem oder die normale Signierfunktion zu beeinträchtigen. Forschende veröffentlichten sich überschneidende Schätzungen zu Verlusten im Zusammenhang mit den Ledger-Ermittlungen: Arkham verfolgte am 29. Oktober 95,35 Millionen US-Dollar über 1.486 Adressen, während Bitquery am 16. Oktober 102 Millionen US-Dollar über 335 Wallets und sechs Blockchains erfasste. Diese Schätzungen sind voneinander getrennt und dürfen nicht addiert werden. Zudem handelt es sich nicht um endgültige, vom Hersteller bestätigte Zahlen. Im Trezor-Fall wurden keine Verluste bestätigt. Die Vorfälle zeigen, dass die Überprüfung eines Sicherheitschips nicht dasselbe ist wie die Untersuchung einer gesamten Wallet auf zusätzliche Bauteile.