A Trezor afirmou ter recebido um relato considerado crível sobre possível adulteração de hardware em uma Trezor Safe 5 comprada da CryptoBilis em agosto de 2026. O denunciante disse que o suposto implante poderia ler dados exibidos na tela, incluindo a frase-semente, e transmiti-los por uma rede móvel.

A Trezor pediu aos clientes que compraram qualquer um de seus dispositivos da CryptoBilis desde março de 2026 que transfiram seus ativos para uma nova carteira com uma nova frase-semente.

A equipe de segurança da Trezor recebeu um relato sobre um possível implante de hardware em uma Trezor Safe 5 comprada da CryptoBilis, na Indonésia, por meio do marketplace Tokopedia, em agosto de 2026. Embora a Trezor não tenha examinado o dispositivo em seu laboratório, considera o relato crível e alertou os clientes afetados porque o suposto implante pode ter exposto os backups de suas carteiras.

A Trezor afirmou não ter confirmação de que fundos tenham sido roubados de clientes da CryptoBilis. A empresa pediu que qualquer pessoa que tenha comprado qualquer modelo da Trezor por meio do vendedor desde março de 2026 tome precauções.

Suposto implante e investigação da Ledger

Segundo o denunciante, uma placa adicional contendo um módulo celular e uma antena foi instalada entre a placa principal e a tela da Safe 5. O denunciante disse que o implante lê informações mostradas na tela, incluindo o backup da carteira, e as transmite por uma rede móvel sempre que o dispositivo é conectado à energia.

Um usuário na Indonésia relatou o dispositivo por meio do programa de divulgação responsável da Trezor. A empresa recebeu fotografias e um recibo e realizou uma entrevista por vídeo com o usuário. A Trezor afirmou que as informações eram graves o suficiente para justificar um alerta aos clientes antes da verificação em laboratório.

“Ainda não recebemos o dispositivo para confirmar este relato, mas, com base na descrição do cliente e em uma entrevista por vídeo, estamos tratando-o como crível”, afirmou a Trezor.

A Trezor afirmou que o suposto implante pode operar segundo um princípio semelhante ao de implantes encontrados anteriormente em dispositivos Ledger. O relato surgiu durante uma investigação sobre um ataque à cadeia de suprimentos envolvendo carteiras de hardware vendidas pela CryptoBilis.

A Ledger começou a analisar, em 9 de outubro de 2026, relatos de que clientes que compraram dispositivos por meio da CryptoBilis haviam perdido fundos. Posteriormente, a empresa confirmou um implante de hardware não autorizado em pelo menos uma carteira. Em 13 de outubro, a equipe Ledger Donjon publicou detalhes técnicos mostrando que o componente detectado poderia ler informações da tela e transmitir a frase-semente via LTE.

Após o início daquela investigação, a Trezor pediu à CryptoBilis que parasse de vender seus dispositivos, e o vendedor cumpriu o pedido. A partir de 19 de outubro, a Trezor recebeu quatro dispositivos devolvidos para inspeção: uma Safe 7, duas unidades Safe 5 e uma Safe 3. A empresa não encontrou evidências de adulteração nesses dispositivos, mas afirmou que outros aparelhos ainda poderiam ter sido comprometidos.

A Trezor afirmou não saber quem estava por trás do suposto ataque e não ter concluído que os implantes em dispositivos Ledger e Trezor estivessem conectados. A empresa está trabalhando com a Ledger e outros participantes da investigação. A SEAL 911, serviço de resposta de emergência da Security Alliance para incidentes de segurança cripto, também está envolvida na resposta.

Orientações e substituições para clientes

A Trezor recomendou que clientes que já utilizam dispositivos comprados da CryptoBilis desde março de 2026 transfiram seus fundos o mais rápido possível para uma nova carteira gerada com uma nova frase-semente. Restaurar o backup antigo em outro dispositivo não eliminaria o risco caso a frase já tenha sido interceptada.

Clientes sem outra carteira de hardware devem transferir temporariamente seus ativos para uma carteira de software ou corretora em que confiem, afirmou a Trezor. Aqueles que ainda não configuraram seu dispositivo da CryptoBilis não devem ativá-lo nem inserir nele o backup de uma carteira existente.

A empresa também alertou que golpistas podem explorar o incidente por meio de e-mails fraudulentos, mensagens físicas ou ligações telefônicas, enquanto se passam por representantes da Trezor. A Trezor afirmou que sua equipe de suporte nunca pede aos clientes que revelem sua frase-semente.

Clientes que compraram dispositivos por meio da CryptoBilis desde março de 2026 podem receber uma carteira substituta entregue diretamente pela Trezor ou um voucher para comprar uma. Eles devem manter o dispositivo da CryptoBilis e entrar em contato com o suporte da Trezor.

Embora o aviso se refira a uma Safe 5 específica, a Trezor afirmou que suas recomendações se aplicam a todos os modelos comprados por meio da CryptoBilis. A empresa aconselhou os usuários a não pesarem nem desmontarem seus dispositivos porque não há uma maneira confiável de os clientes verificarem por conta própria se há um implante.

Até a publicação, a Trezor não havia recebido relatos de fundos roubados de clientes da CryptoBilis. A empresa afirmou que o usuário que encontrou o componente suspeito transferiu seus ativos para fora do dispositivo antes de descobri-lo.

Outros incidentes de segurança envolvendo carteiras de hardware

O caso da CryptoBilis ocorre após outros incidentes de segurança que afetaram usuários de carteiras de hardware. Um ataque em larga escala contra proprietários de Coldcard levou ao roubo de cerca de 1.367 BTC, avaliados em quase US$ 88,6 milhões. A Trezor também informou que uma violação da parceira de logística ShipMonk expôs os dados pessoais de 13.689 clientes.

Em setembro de 2026, a Trezor alertou que invasores haviam comprometido um provedor terceirizado de e-mail e usado sua infraestrutura para distribuir e-mails de phishing. Separadamente, a Keystone informou que uma violação de seu site oficial expôs nomes de clientes, dados de contato, endereços de envio e históricos de pedidos, embora a empresa tenha afirmado que chaves privadas e frases-semente não foram afetadas.

Fonte: HODL Press