Предупреждение Trezor Wallet подчёркивает риски в цепочке поставок

Trezor предупредила клиентов о подозрении на аппаратный имплант в устройстве Safe 5, приобретённом через реселлера CryptoBilis, которого компания исключила из своей авторизованной сети 9 октября. Покупатель сообщил, что обнаружил дополнительную печатную плату, однако по состоянию на 30 октября Trezor ещё не получила устройство для лабораторной проверки. Компания заявила, что не получала сообщений о потерях клиентов. Покупатели, соответствующие условиям и приобретшие устройства, поставленные CryptoBilis, начиная с марта 2026 года, могут запросить замену или ваучер. Trezor советует владельцам затронутых устройств создать кошелёк с новой фразой восстановления и перевести на него средства; восстановление старой фразы не защитит активы, если она была раскрыта. Компания также предупредила клиентов о необходимости остерегаться фишинговых атак и сообщила, что на четырёх других возвращённых устройствах признаков вмешательства не обнаружено. Это предупреждение вновь привлекло внимание к безопасности цепочек поставок аппаратных кошельков. Trezor заявила, что предполагаемый имплант похож на тот, что обнаружили в отдельном случае с Ledger, однако публичных доказательств связи между инцидентами или их злоумышленниками нет. Ledger подтвердила наличие импланта в одном из затронутых устройств: он мог перехватывать 24-словную фразу восстановления через соединение с экраном, не нарушая работу защищённого чипа, операционной системы или обычных функций подписания. Исследователи опубликовали частично совпадающие оценки убытков, связанных с расследованием Ledger: 29 октября Arkham отследила 95,35 млн долларов по 1 486 адресам, а 16 октября Bitquery насчитала 102 млн долларов в 335 кошельках и шести блокчейнах. Эти оценки являются отдельными, их нельзя складывать; это не окончательные цифры, подтверждённые производителем. В случае Trezor подтверждённых потерь нет. Инциденты показывают, что проверка защищённого чипа — не то же самое, что проверка всего кошелька на наличие добавленных компонентов.