A Trezor a CryptoBilis vevőit kéri kriptójuk átutalására

A Trezor pénteken közölte, hogy egy indonéz vásárló engedély nélkül beépített áramköri lapot jelzett egy Safe 5 hardvertárcában. A készüléket augusztusban vásárolta a Tokopedia piacterén. A Trezor figyelmeztetése azoknak szól, akik március óta a CryptoBilisnél, a korábbi hivatalos viszonteladónál vásároltak, akiktől a gyártó kriptójuk áthelyezését kéri.

A vállalat még nem vizsgálta meg a készüléket, és nem kapott bejelentést az ügyhöz kapcsolódó veszteségről. Danny Sanders, a Trezor kereskedelmi vezetője közölte, hogy hitelesként kezelik a jelzést, és inkább a megerősítés előtt figyelmeztetnek, mintsem megvárják, hogy valaki elveszítse a kriptóját.

A bejelentés alapján a feltételezett hardveres implantátum, az idegen áramkör, rögzíthetné a kijelzőn megjelenő adatokat, köztük a seedphrase-t, és mobilhálózaton továbbíthatná azokat. Az ellopott helyreállítási adatokkal egy támadó másik eszközön is helyreállíthatja a tárcát, majd elutalhatja annak kriptóját.

A Trezor korábbi magyarázata szerint a beüzemeléskori ellenőrzések a hamisított készülékeket és a módosított firmware-t, az eszközt működtető alapszoftvert célozzák. A CryptoBilis által eladott, manipulált Ledger készülékben az idegen áramkör a firmware megváltoztatása nélkül olvasta a kijelzőt.

A CryptoBilis által értékesített Ledger tárcáknál jelentett kriptoveszteségekről október 9-én jelentek meg beszámolók. A Ledger az egyik érintett eszközben megerősítette az engedély nélkül beépített hardver jelenlétét.

Joe Grand biztonsági kutató korábban arról számolt be, hogy augusztusban már figyelmeztette a Trezort manipulált Trezor One és Model T készülékekre. Ezeket a TikTokon és a Facebookon nem hivatalos eladóktól vásárolták.

A Trezor tisztázta, hogy a kompromittált készülékekre utaló bizonyítékok hiányáról szóló korábbi állítása kizárólag a hivatalos viszonteladóknál eladott új tárcákra vonatkozott.

A Trezor felülvizsgálja hardveres védelmét, és szóvivője elismerte, hogy a zárómatricák és a csomagolás önmagukban nem nyújtanak elegendő védelmet. A gyártó még nem állapította meg, hol történt a feltételezett manipuláció.

A szóvivő nagyon alacsonynak nevezte a CryptoBilis közvetítésével eladott mennyiséget, pontos számot azonban nem adott meg. A Trezor október 13-án már bejelentette, hogy szűkíteni tervezi viszonteladói hálózatát.