Wprowadzenie do problemu / definicja
Incydent związany z portfelami sprzętowymi Trezor pokazuje, że bezpieczeństwo kryptowalut nie zależy wyłącznie od jakości firmware, architektury urządzenia czy zastosowanych układów ochronnych. Równie istotna jest integralność całego łańcucha dostaw, obejmującego produkcję, logistykę, sprzedaż i przekazanie sprzętu użytkownikowi końcowemu.
Producent potwierdził, że wybrane egzemplarze Trezor Safe 5 sprzedawane przez resellera CryptoBilis zawierały ukryte implanty sprzętowe. Ich celem było przechwycenie frazy odzyskiwania, czyli najważniejszego sekretu umożliwiającego odtworzenie portfela i przejęcie zgromadzonych środków.
W skrócie
- Trezor potwierdził obecność ukrytych implantów w co najmniej trzech urządzeniach Trezor Safe 5.
- Zainfekowane egzemplarze były sprzedawane przez CryptoBilis.
- Implant miał przechwytywać seed phrase podczas inicjalizacji lub przywracania portfela.
- Dane mogły być przesyłane przez sieć komórkową do infrastruktury kontrolowanej przez napastników.
- Firmware 2.13.1 blokuje znane warianty ataku, ale nie cofa skutków wcześniejszego wycieku frazy odzyskiwania.
Kontekst / historia
Sprawa wpisuje się w rosnące znaczenie ataków typu supply chain w ekosystemie urządzeń kryptograficznych. Według ujawnionych informacji pierwsze ostrzeżenie pojawiło się 30 października 2026 roku po zgłoszeniu od klienta, a dalsza analiza laboratoryjna potwierdziła, że nie chodziło o pojedynczy przypadek.
CryptoBilis wcześniej figurował jako oficjalny reseller Trezor w Azji Południowo-Wschodniej, jednak 9 października 2026 roku został usunięty z listy partnerów. Producent podał, że zagrożone urządzenia zostały zakupione między 20 sierpnia a 23 września 2026 roku. Na obecnym etapie incydent powiązano z modelem Trezor Safe 5 sprzedawanym przez ten konkretny kanał dystrybucji, bez potwierdzenia analogicznych przypadków u innych sprzedawców lub w innych modelach.
Dodatkowy kontekst stanowi podobny incydent opisywany wcześniej przez innego producenta portfeli sprzętowych. To sugeruje, że źródło manipulacji mogło znajdować się na etapie dystrybucji, przepakowywania lub lokalnej obsługi logistycznej, a niekoniecznie bezpośrednio w procesie produkcyjnym.
Analiza techniczna
Technicznie jest to szczególnie groźny scenariusz, ponieważ atak nie wymagał modyfikacji firmware ani obejścia secure elementu. Napastnicy zastosowali dodatkowy moduł elektroniczny umieszczony pomiędzy płytą główną a ekranem. Taki implant działał jako ukryty pośrednik, zdolny do podsłuchiwania danych prezentowanych użytkownikowi na wyświetlaczu.
Z ujawnionych informacji wynika, że implant przechwytywał frazę odzyskiwania podczas tworzenia kopii zapasowej nowego portfela oraz przy przywracaniu istniejącego portfela. W praktyce oznacza to, że zagrożone były zarówno nowe urządzenia inicjalizowane po zakupie, jak i sprzęt używany do migracji już istniejących zasobów. Jeżeli użytkownik korzystał dodatkowo z passphrase, ona również mogła zostać przejęta.
Według opisu zebrane informacje były szyfrowane, a następnie wysyłane przez łączność komórkową do zdalnej infrastruktury atakujących. W przypadku braku połączenia implant miał przechowywać dane lokalnie i podejmować kolejne próby transmisji. To oznacza, że atak funkcjonował poza standardowym torem komunikacji urządzenia i nie wymagał kompromitacji komputera użytkownika ani aplikacji towarzyszącej.
To klasyczny przykład ataku out-of-band. Nawet poprawna weryfikacja podpisów firmware, nienaruszony secure element i brak infekcji po stronie hosta nie gwarantują bezpieczeństwa, jeśli fizycznie zmanipulowany został tor prezentacji danych. Tego rodzaju operacja omija znaczną część typowych mechanizmów kontrolnych stosowanych przez użytkowników i zespoły bezpieczeństwa.
Firma udostępniła firmware 2.13.1 dla modeli Safe 7, Safe 5, Safe 3 oraz Model T. Aktualizacja ma blokować znane warianty implantów przed dalszym przechwytywaniem danych, jednak jej działanie ma charakter zapobiegawczy. Jeżeli seed phrase została już wcześniej skopiowana, aktualizacja nie usuwa skutków kompromitacji.
Konsekwencje / ryzyko
Najpoważniejszym skutkiem incydentu jest możliwość pełnego przejęcia portfela kryptowalutowego i kradzieży aktywów. Fraza odzyskiwania pozostaje nadrzędnym sekretem kryptograficznym, dlatego jej ujawnienie praktycznie unieważnia pozostałe warstwy ochronne. Atakujący nie muszą utrzymywać długotrwałego dostępu do urządzenia ani prowadzić dalszej interakcji z ofiarą.
Ryzyko dotyczy zarówno osób konfigurujących nowy portfel, jak i użytkowników odtwarzających istniejące środowisko na zakupionym urządzeniu. To rozszerza skalę zagrożenia i obejmuje także bardziej zaawansowane scenariusze, takie jak migracja środków lub awaryjne odzyskiwanie dostępu do aktywów.
Istotnym problemem jest także trudność wykrycia manipulacji. Producent wskazał, że ani waga urządzenia, ani samodzielne otwieranie obudowy nie są wiarygodną metodą weryfikacji. W praktyce przeciętny użytkownik może nie być w stanie rozpoznać zmodyfikowanego urządzenia bez specjalistycznej ekspertyzy technicznej.
Rekomendacje
Incydent powinien skłonić zarówno użytkowników indywidualnych, jak i organizacje do zaostrzenia procedur zakupowych oraz zasad bezpiecznej inicjalizacji portfeli sprzętowych.
- Natychmiast przenieść środki do nowego portfela z nową frazą odzyskiwania, jeśli urządzenie pochodziło z podejrzanego kanału sprzedaży.
- Nie używać nieaktywnych jeszcze urządzeń z ryzykownej partii do inicjalizacji ani odtwarzania portfela.
- Nie wprowadzać istniejącej frazy seed do urządzenia o niepewnym pochodzeniu.
- Zaktualizować firmware do wersji 2.13.1 lub nowszej na wspieranych modelach.
- Skontaktować się z oficjalnym wsparciem producenta w celu weryfikacji pochodzenia urządzenia i ewentualnej procedury wymiany.
- Kupować sprzęt wyłącznie w oficjalnych kanałach lub u autoryzowanych partnerów o potwierdzonej reputacji.
- W środowiskach firmowych wdrożyć procedury chain-of-custody dla urządzeń kryptograficznych.
Z perspektywy bezpieczeństwa przedsiębiorstw warto także rozważyć dokumentowanie numerów seryjnych, ograniczenie liczby pośredników zakupowych, laboratoryjne badanie losowo wybranych egzemplarzy oraz inicjalizację urządzeń wyłącznie w kontrolowanym środowisku. Nie można też pomijać ryzyka wtórnych kampanii phishingowych, w których oszuści mogą wykorzystywać rozgłos wokół incydentu do wyłudzania seed phrase pod pozorem pomocy technicznej.
Podsumowanie
Potwierdzenie ukrytych implantów sprzętowych w portfelach Trezor Safe 5 sprzedawanych przez CryptoBilis to jeden z wyraźniejszych przykładów zagrożenia supply chain w świecie kryptowalut. Atak ominął klasyczne zabezpieczenia urządzenia dzięki fizycznej ingerencji w tor wyświetlania danych i przechwytywaniu frazy odzyskiwania.
Najważniejszy wniosek jest jednoznaczny: bezpieczeństwo portfela sprzętowego nie kończy się na firmware i secure elemencie. Obejmuje ono cały proces zakupu, dystrybucji, odbioru i inicjalizacji urządzenia. W przypadku podejrzenia kompromitacji jedyną bezpieczną ścieżką pozostaje wygenerowanie nowego portfela i szybka migracja środków.
Źródła
- The Hacker News — Trezor Confirms Hidden Implants in CryptoBilis-Sold Wallets That Can Steal Recovery Phrases — https://thehackernews.com/2026/11/trezor-confirms-hidden-hardware.html
- Trezor — Trezor firmware changelog: all versions and release dates — https://trezor.io/learn/a/firmware-changelog
- Trezor — cryptobilis compromised trezor wallets update — https://trezor.io/learn/a/cryptobilis-compromised-trezor-wallets-update
- Trezor — cryptobilis compromised trezor wallets — https://trezor.io/learn/a/cryptobilis-compromised-trezor-wallets
- Ledger — Security advisory: hidden electronics found in select Ledger packaging — https://www.ledger.com/blog/security-advisory-hidden-electronics-found-in-select-ledger-packaging