Trezor markerer mistænkt spionimplantat i CryptoBilis-wallet

Trezor er blevet trukket ind i CryptoBilis-rodet. Virksomheden sagde på X, at en Safe 5, der blev solgt gennem den sydøstasiatiske forhandler, viser tegn på manipulation. Det er den samme forhandler, hvis Ledger-wallets blev drænet for anslået 72 millioner til 93 millioner dollars tidligere på måneden.

En rettelse til den måde, dette genfortælles på: det er ikke tredjepartssoftware. Trezors egen afsløring beskriver hardware. En kunde i Indonesien åbnede sin Safe 5 og fandt et ekstra printkort mellem bundkortet og skærmen, udstyret med et mobilmodul og en antenne. Ifølge hans rapport læser kortet, hvad skærmen viser, inklusive gendannelsesfrasen, og sender det ud via et mobilnetværk, når enheden er tilsluttet.

Han købte tegnebogen i august gennem Tokopedia, hvor CryptoBilis driver en butik. Han anmeldte det den 28. oktober via Trezors program for ansvarlig offentliggørelse, og han havde allerede flyttet sine penge fra enheden, før han fandt boardet. Trezor siger, at ingen CryptoBilis-købere har fortalt dem om et tab.

Der er en stor forbehold. Trezor har endnu ikke set enheden. De vurderede rapporten som troværdig ud fra billeder og et videointerview med reporteren, og siger, at deres sikkerhedsteam vil undersøge enheden, når den ankommer. Alt nedenfor hviler på det.

Hvad Trezor ønsker, at købere skal gøre

Enhver, der har købt en Trezor fra CryptoBilis siden marts 2026, bør flytte penge til en ny wallet med et nyt seed-system og bør ikke genbruge den gamle backup på en anden enhed. Hvis der ikke er en ekstra hardware-wallet, foreslår Trezor en software-wallet eller en velkendt exchange som en nødløsning. Enheder, der aldrig blev konfigureret, bør forblive sådan. Berørte købere kan få en erstatning sendt direkte eller en voucher, og Trezor beder dem om at beholde CryptoBilis-enheden og kontakte support.

Den forventer også phishing. Falske e-mails, breve og telefonopkald er sandsynlige, og Trezor gentager, at ingen fra supporten vil bede om en gendannelsesfrase.

Mark Karpelès, der offentligt har dissekeret manipulerede tegnebøger siden Ledger-historien brød ud, forstærkede advarslen med "Ledger er ikke den eneste" og tilbød at dække forsendelse og analysere enhver enhed, som folk er usikre på.

Hvordan Ledger-siden udspillede sig

Ledger begyndte at undersøge sagen den 9. oktober, efter at CryptoBilis-kunder rapporterede tomme tegnebøger. En dag senere bekræftede de, at en berørt enhed indeholdt et uautoriseret implantat. Den 13. oktober offentliggjorde deres Donjon-sikkerhedsteam, hvordan det fungerer: implantatet sidder inde i kabinettet og læser skærmen, og når den 24-ords sætning vises under opsætningen, afkoder en mikrocontroller den og sender den ud via LTE via et provisioneret eSIM. Secure Element, operativsystemet og transaktionssignaturerne er uændrede, hvilket er grunden til, at en manipuleret Ledger ser ud og opfører sig normalt.

Det er sværere at fastslå beløbet. Bitquery optalte omkring 93,2 millioner dollars på tværs af 315 wallets på seks kæder, Specter satte det over 86 millioner dollars, og tanuki42 startede på 72 millioner dollars. Zetters rapportering går så højt som 100 millioner dollars. Ledger har ikke bekræftet nogen af disse, selvom de siger, at alle bekræftede tab kan spores tilbage til CryptoBilis. Tether indefrøs 10 millioner dollars i USDT knyttet til tyveriet, ifølge CoinDesk.

Skaden var heller ikke begrænset til én forhandlers kunder. MediaMarkt Saturn stoppede med at sælge Ledger-enheder i sine tyske butikker og online, efter at en kunde dér rapporterede et implantat, og Singapores politi udsendte en advarsel den 28. oktober om Ledger-enheder købt hos nogle lokale forhandlere. Ledgers administrerende direktør, Pascal Gauthier, sagde, at han selv leder efterforskningen.

Problemet med "ikke et eneste bevis"

Trezors egen tidslinje er lidt akavet. Ifølge deres beretning droppede de CryptoBilis den 9. oktober, den dag Ledgers problemer begyndte. Den 13. oktober fortalte de forhandlerne, at de afbrød deres netværk, med autorisationer, der udløber den 1. januar 2027, og administrerende kommerciel direktør Danny Sanders skrev, at der "ikke var et eneste bevis for, at Trezor-enheder var blevet kompromitteret."

Samme dag rapporterede journalisten Kim Zetter, at hardwarehackeren Joe Grand havde fundet implantater i to Trezor-wallets og havde fortalt virksomheden det tilbage i august. Den ene var en Model T købt via Facebook Marketplace i Canada, den anden en Trezor One fra en TikTok-butik. Trezor svarede, at Sanders mente nye enheder fra autoriserede forhandlere, og at Grands enheder var forfalskninger fra uautoriserede sælgere, et kendt trick, de har advaret om siden 2022.

Det var en anden slags angreb. De manipulerede chips genererede forudindlæste seed-fraser, som angriberne allerede kendte. CryptoBilis-rapporten, hvis den holder stik, er et skærmlæsende cellulært implantat af den slags, der ses i Ledgers, og den kommer gennem en autoriseret kanal, hvilket er præcis den linje, Trezor sagde ikke var blevet overskredet. Zetter havde advaret om, at sagerne med uautoriserede sælgere kunne være en forløber.

Hvad ingen ved endnu

Ingen har sagt, hvem der står bag. Ingen har sagt, hvor manipulationen fandt sted, om det var på forhandlerens lager, under transport eller et sted tidligere. Ledgers udtalelser beskylder ikke CryptoBilis for medvirken, og intet offentligt beviser det. Trezor afviser at sammenligne sig selv med Ledger, før deres laboratorium har fået beskrivelsen i hånden, og siger, at de deler oplysninger med Ledger og andre efterforskere, hvor SEAL 911 rådgiver om kundesupport.

Jeg bliver ved med at vende tilbage til den grundlæggende pointe bag en hardware wallet: man skal ikke behøve at stole på nogen mellem fabrikken og sit skrivebord. To mærker har nu fået den antagelse stukket igennem gennem den samme forhandler, og et af dem venter stadig på, at æsken ankommer.