Trezor teilte mit, dass es einen glaubwürdigen Bericht über eine mögliche Hardware-Manipulation an einem Trezor Safe 5 erhalten habe, der im August 2026 bei CryptoBilis gekauft wurde. Der Melder erklärte, der mutmaßliche Implantat könne Bildschirminhalte einschließlich der Seed-Phrase auslesen und über ein Mobilfunknetz übertragen.
Trezor forderte Kunden, die seit März 2026 ein Gerät des Unternehmens bei CryptoBilis gekauft haben, dazu auf, ihre Vermögenswerte auf eine neue Wallet mit einer neuen Seed-Phrase zu übertragen.
Das Sicherheitsteam von Trezor erhielt einen Bericht über ein mögliches Hardware-Implantat in einem Trezor Safe 5, der im August 2026 bei CryptoBilis in Indonesien über den Tokopedia-Marktplatz gekauft wurde. Obwohl Trezor das Gerät nicht in seinem Labor untersucht hat, hält das Unternehmen den Bericht für glaubwürdig und warnte betroffene Kunden, weil das mutmaßliche Implantat ihre Wallet-Backups möglicherweise offengelegt habe.
Trezor erklärte, es gebe keine Bestätigung, dass Kunden von CryptoBilis Gelder gestohlen worden seien. Das Unternehmen forderte alle Personen, die seit März 2026 irgendein Trezor-Modell über den Verkäufer gekauft haben, zu Vorsichtsmaßnahmen auf.
Mutmaßliches Implantat und Ledger-Untersuchung
Nach Angaben des Melders wurde eine zusätzliche Platine mit Mobilfunkmodul und Antenne zwischen der Hauptplatine und dem Bildschirm des Safe 5 installiert. Der Melder erklärte, das Implantat lese auf dem Bildschirm angezeigte Informationen, einschließlich des Wallet-Backups, und übertrage diese jedes Mal über ein Mobilfunknetz, wenn das Gerät mit Strom verbunden sei.
Ein Nutzer in Indonesien meldete das Gerät über das Responsible-Disclosure-Programm von Trezor. Das Unternehmen erhielt Fotos und einen Kaufbeleg und führte ein Video-Interview mit dem Nutzer. Trezor erklärte, die Informationen seien schwerwiegend genug gewesen, um Kunden vor einer Laborverifizierung zu warnen.
„Wir haben das Gerät nicht erhalten, um diesen Bericht zu bestätigen, aber auf Grundlage der Beschreibung des Kunden und eines Video-Interviews behandeln wir ihn als glaubwürdig“, erklärte Trezor.
Trezor erklärte, das mutmaßliche Implantat könne nach einem ähnlichen Prinzip funktionieren wie Implantate, die zuvor in Ledger-Geräten gefunden wurden. Der Bericht wurde während einer Untersuchung eines Lieferkettenangriffs auf Hardware-Wallets bekannt, die von CryptoBilis verkauft worden waren.
Ledger begann am 9. Oktober 2026 mit der Prüfung von Berichten, wonach Kunden, die Geräte über CryptoBilis gekauft hatten, Gelder verloren hätten. Das Unternehmen bestätigte später ein nicht autorisiertes Hardware-Implantat in mindestens einer Wallet. Am 13. Oktober veröffentlichte das Ledger-Donjon-Team technische Details, wonach die entdeckte Komponente Bildschirminhalte auslesen und die Seed-Phrase über LTE übertragen konnte.
Nach Beginn dieser Untersuchung forderte Trezor CryptoBilis auf, den Verkauf seiner Geräte einzustellen, und der Verkäufer kam dem nach. Ab dem 19. Oktober erhielt Trezor vier zurückgesandte Geräte zur Untersuchung: einen Safe 7, zwei Safe-5-Geräte und einen Safe 3. Das Unternehmen fand in diesen Geräten keine Hinweise auf Manipulationen, erklärte jedoch, dass andere Geräte weiterhin kompromittiert worden sein könnten.
Trezor erklärte, es wisse nicht, wer hinter dem mutmaßlichen Angriff stehe, und habe nicht festgestellt, dass die Implantate in Ledger- und Trezor-Geräten miteinander verbunden seien. Das Unternehmen arbeitet mit Ledger und anderen Beteiligten der Untersuchung zusammen. Auch SEAL 911, der Notfalldienst der Security Alliance für Krypto-Sicherheitsvorfälle, ist an der Reaktion beteiligt.
Hinweise und Ersatzgeräte für Kunden
Trezor riet Kunden, die bereits Geräte nutzen, die seit März 2026 bei CryptoBilis gekauft wurden, ihre Gelder so schnell wie möglich auf eine neue Wallet zu übertragen, die mit einer neuen Seed-Phrase erstellt wurde. Die Wiederherstellung des alten Backups auf einem anderen Gerät würde das Risiko nicht beseitigen, falls die Phrase bereits abgefangen worden sei.
Kunden ohne eine weitere Hardware-Wallet sollten ihre Vermögenswerte vorübergehend auf eine Software-Wallet oder Börse übertragen, der sie vertrauen, erklärte Trezor. Personen, die ihr CryptoBilis-Gerät noch nicht eingerichtet haben, sollten es nicht aktivieren und darauf kein bestehendes Wallet-Backup eingeben.
Das Unternehmen warnte zudem, dass Betrüger den Vorfall durch betrügerische E-Mails, physische Nachrichten oder Telefonanrufe unter Ausgaben als Trezor-Vertreter ausnutzen könnten. Trezor erklärte, seine Support-Mitarbeiter forderten Kunden niemals dazu auf, ihre Seed-Phrase offenzulegen.
Kunden, die seit März 2026 Geräte über CryptoBilis gekauft haben, können eine Ersatz-Wallet erhalten, die direkt von Trezor geliefert wird, oder einen Gutschein zum Kauf einer solchen Wallet. Sie müssen das CryptoBilis-Gerät behalten und den Trezor-Support kontaktieren.
Obwohl sich die Mitteilung auf einen bestimmten Safe 5 bezieht, erklärte Trezor, seine Empfehlungen gälten für alle über CryptoBilis gekauften Modelle. Das Unternehmen riet Nutzern davon ab, ihre Geräte zu wiegen oder zu zerlegen, weil Kunden selbst keine verlässliche Möglichkeit hätten, auf ein Implantat zu prüfen.
Zum Zeitpunkt der Veröffentlichung hatte Trezor keine Berichte erhalten, wonach Kunden von CryptoBilis Gelder gestohlen worden seien. Das Unternehmen erklärte, der Nutzer, der die verdächtige Komponente fand, habe seine Vermögenswerte von dem Gerät übertragen, bevor er sie entdeckt habe.
Weitere Sicherheitsvorfälle bei Hardware-Wallets
Der Fall CryptoBilis folgt auf weitere Sicherheitsvorfälle, die Nutzer von Hardware-Wallets betrafen. Ein groß angelegter Angriff auf Coldcard-Besitzer führte zum Diebstahl von etwa 1.367 BTC im Wert von nahezu 88,6 Millionen US-Dollar. Trezor berichtete zudem, dass ein Verstoß bei dem Logistikpartner ShipMonk die persönlichen Daten von 13.689 Kunden offengelegt habe.
Im September 2026 warnte Trezor, dass Angreifer einen externen E-Mail-Anbieter kompromittiert und dessen Infrastruktur zum Versand von Phishing-E-Mails genutzt hätten. Keystone berichtete separat, dass ein Verstoß auf seiner offiziellen Website Kundennamen, Kontaktdaten, Lieferadressen und Bestellhistorien offengelegt habe, wobei das Unternehmen erklärte, dass private Schlüssel und Seed-Phrasen nicht betroffen gewesen seien.
Quelle: HODL Press
