Trezor veröffentlichte eine Untersuchung, die bösartige Hardware-Implantate in drei Safe-5-Wallets bestätigte, die zwischen dem 20. August und dem 23. September 2026 über CryptoBilis gekauft wurden. Die Implantate konnten Seed-Phrasen und Passphrasen erfassen, die für den Zugriff auf Krypto-Vermögenswerte verwendet werden, und Trezor warnte, dass sein Sicherheitsupdate vom 11. November Informationen nicht schützen kann, die vor der Installation gestohlen wurden.
Die betroffenen Wallets wurden in CryptoBilis-Shops auf Tokopedia und Shopee oder direkt beim Wiederverkäufer gekauft. Trezor untersuchte ein Gerät in seinem Labor und identifizierte zwei weitere anhand von Fotos ihrer internen Komponenten, die von den Besitzern eingereicht worden waren.
Nachdem im Oktober Berichte über mögliche Manipulationen aufgetaucht waren, forderte Trezor CryptoBilis-Kunden dazu auf, sein Support-Team zu kontaktieren. Das Unternehmen hat 48 Anfragen erhalten und überprüft Geräte. Zudem untersuchte es Wallets, die von anderen Wiederverkäufern in der Region verkauft wurden, und erklärte, keine Anzeichen für Manipulationen gefunden zu haben. Laut Trezor hat kein Kunde den Verlust von Geldern gemeldet.
Implantate erfassten Informationen vom Bildschirm
Trezor zufolge war das Implantat eine zusätzliche Platine, die zwischen der Hauptplatine des Safe 5 und dem Bildschirm installiert war. Es veränderte den Betrieb der Wallet nicht, las jedoch auf dem Display angezeigte Informationen aus, einschließlich vom Nutzer eingegebener Daten.
Das Modul konnte bei der Erstellung eines Backups angezeigte Wiederherstellungswörter der Wallet erkennen und speichern. Es konnte zudem Wörter erfassen, die zur Wiederherstellung einer bestehenden Wallet eingegeben wurden, und eine Passphrase abfangen, wenn diese auf dem Bildschirm angezeigt wurde.
Nach Trezors Analyse verschlüsselte das Implantat die gesammelten Informationen und übermittelte sie über ein Mobilfunknetz an den Server der Angreifer. Falls keine Verbindung hergestellt werden konnte, speicherte es die Daten und versuchte es erneut. Trezor erklärte, das Modul habe ähnlich funktioniert wie Implantate, die zuvor in Ledger-Geräten gefunden worden seien, sei jedoch an das Safe-5-Design angepasst worden.
Firmware blockiert weitere Datenerfassung
Trezor veröffentlichte am 11. November 2026 die Firmware-Version 2.13.1. Nach Angaben des Unternehmens verhindert das Update, dass die entdeckten Implantate Informationen erfassen, kann jedoch eine Seed-Phrase nicht absichern, die möglicherweise bereits abgefangen wurde.
Trezor riet Kunden, die Wallets über CryptoBilis gekauft und bereits eingerichtet haben, ihre Vermögenswerte so bald wie möglich in eine neue Wallet zu übertragen, die durch eine neue Seed-Phrase geschützt ist. Nutzer sollten die alte Phrase nicht in einer anderen Hardware- oder Software-Wallet wiederverwenden. Falls kein anderes sicheres Hardware-Gerät verfügbar ist, empfiehlt das Unternehmen vorübergehend die Nutzung einer vertrauenswürdigen Software-Wallet oder Krypto-Börse.
Kunden, die ein über CryptoBilis gekauftes Gerät noch nicht eingerichtet haben, sollten es nicht aktivieren und nicht die Wiederherstellungsphrase einer bestehenden Wallet eingeben, erklärte Trezor.
Trezor bietet Ersatzgeräte an und reduziert Wiederverkäufernetz
Trezor reduzierte sein Wiederverkäufernetz um etwa 80 %. Das Unternehmen erklärte, es habe außerdem Partner entfernt, die keine direkte Bedrohung darstellten, aber strengere Anforderungen an Lieferkette, Geräteaufbewahrung und Zugangskontrolle nicht erfüllten.
Das Unternehmen bietet allen Kunden Ersatzgeräte an, die seit März 2026 ein Trezor-Gerät über CryptoBilis gekauft haben, nicht nur den Besitzern der drei bestätigtermaßen kompromittierten Safe-5-Wallets. Kunden müssen das Gerät behalten und den Trezor-Support kontaktieren. Je nach Lieferland erhalten sie möglicherweise ein anderes Modell mit Ausgleich für etwaige Preisunterschiede, eine Lieferung an eine Adresse in einem anderen Land oder eine Rückerstattung.
Trezor hatte CryptoBilis zuvor von seiner Wiederverkäuferliste entfernt, nachdem Berichte aufgetaucht waren, dass das Unternehmen modifizierte Ledger-Geräte verkaufe. Anschließend begann das Unternehmen mit der Untersuchung von Trezor-Wallets, die bei dem Verkäufer erworben worden waren.
Der Hersteller forderte Nutzer dazu auf, Seed-Phrasen mit niemandem zu teilen, auch nicht mit Personen, die vorgeben, den Kundensupport zu vertreten. Trezor erklärte, seine Mitarbeiter forderten niemals Wiederherstellungsphrasen an und Kunden sollten Bedenken bezüglich verdächtiger Geräte ausschließlich über den offiziellen Support klären.
Trezor hatte zuvor über ein Datenleck berichtet, das nach dem ShipMonk-Hack mehr als 13.000 Kunden betraf, vor einer neuen Phishing-Welle gewarnt und die Kompromittierung eines Drittanbieter-E-Mail-Anbieters offengelegt.
Quelle: HODL Press
