В кошельках Trezor Safe 5 от реселлера CryptoBilis нашли импланты для кражи мнемофраз
Производитель Trezor заявил, что в трёх кошельках Trezor Safe 5, купленных у реселлера CryptoBilis, найден имплант, который копирует мнемофразу и отправляет её на сервер злоумышленников через мобильную сеть. Потерь средств компания не зафиксировала.
Главное в цифрах
- Проверено кошельков Trezor Safe 5 с импланом: 3
- Потерь средств не зафиксировано
- Прошивка с защитой: 2.13.1
- Сокращение сети реселлеров: около 80%
- Покупатели, откликнувшиеся на просьбу компании: 48
Имплант представляет собой дополнительную плату, которая находится между основной платой Safe 5 и экраном. Он считывает мнемофразу, когда она показана при создании резервной копии или введена для восстановления кошелька, а также пасфразу, если она появляется на экране. Данные шифруются и отправляются на сервер злоумышленников. Если связи нет, имплант хранит данные и повторяет попытки до успешной отправки. По словам Trezor, сам кошелёк, включая прошивку и Secure Element, не меняется.
Один кошелёк компания исследовала в лаборатории, два других определила по фотографиям, которые прислали владельцы. Прошивка 2.13.1, выпущенная на этой неделе, блокирует перехват на обновлённых устройствах, но не защищает резервные копии, снятые до обновления. Trezor не будет публиковать технические подробности, которые могли бы помочь атакующим.
Реселлер и связь с Ledger
CryptoBilis был официальным реселлером Trezor в Юго-Восточной Азии до 9 октября, когда компания его отключила. В тот же день Ledger начал расследовать потери средств у клиентов того же посредника. Позже Ledger подтвердил несанкционированный имплант в купленном у этого реселлера устройстве и сообщил, что злоумышленники встраивали в оригинальные устройства скрытые компоненты для перехвата фразы при настройке.
Trezor утверждает, что импланты работают так же, но адаптированы под экран Safe 5. Компания не сообщила, кто установил импланты и на каком этапе поставок это произошло. Три кошелька были куплены с 20 августа по 23 сентября. Импланты найдены только в Safe 5, проданных этим реселлером, в других моделях и у других реселлеров их нет.
Что сделала компания
Trezor первым предупредил о возможном импланте 30 октября. После октябрьских сообщений компания попросила покупателей у реселлера связаться с ней, откликнулись 48 человек. Их кошельки проверяются в лаборатории или по фотографиям. Сокращение сети реселлеров, по словам компании, составило около 80%. Об этом Trezor объявил 13 октября, за две недели до первого сообщения об импланте в собственном кошельке. Реселлерам, которых убрали, разрешено продавать остатки до 1 января 2027 года.
Компания продолжает расследование и обещает опубликовать обновление, если найдёт импланты вне кошельков этого реселлера или Safe 5, получит сообщение о потерях средств или выпустит новые защитные меры.
