После октябрьских сообщений о вмешательстве Trezor попросила покупателей CryptoBilis связаться с компанией. Откликнулись 48 человек. Один из трёх заражённых Safe 5 проверили в лаборатории, а два других выявили по фотографиям владельцев. Все три устройства купили с 20 августа по 23 сентября 2026 года — в магазинах CryptoBilis на Tokopedia и Shopee или напрямую у продавца. По данным Trezor, владельцы этих кошельков не потеряли средства.
Имплант — дополнительная плата между основной платой устройства и экраном. Она считывала отображаемые слова восстановления и парольную фразу, шифровала данные и отправляла их по мобильной сети. По словам Trezor, плата не изменяла прошивку и защищённый элемент кошелька. Все три случая связаны с Safe 5 от CryptoBilis; в проверенных устройствах других продавцов и моделях вмешательства не обнаружили.
Что меняется для владельцев
Прошивка 2.13.1, выпущенная 11 ноября, блокирует захват данных известными компании имплантами. Но она не защищает резервную фразу, которую плата могла считать до обновления. Поэтому Trezor советует покупателям CryptoBilis перенести средства в новый кошелёк, созданный с новой фразой восстановления. Использование старой фразы на другом устройстве не решит проблему.
Покупатели любого Trezor, приобретённого у CryptoBilis с марта 2026 года, имеют право на новое устройство. Если выбранную модель нельзя доставить в страну покупателя, компания предлагает другую модель с возвратом разницы в цене, доставку по другому адресу или возврат денег. Для оформления нужно сохранить устройство и обратиться в поддержку Trezor.
«Мы сократили нашу сеть реселлеров примерно на 80%», — сообщила Trezor. Компания добавила, что оставшиеся продавцы должны соблюдать более строгие правила закупки, хранения устройств и контроля доступа. По словам компании, удалённые партнёры не представляли непосредственной угрозы, но не соответствовали новым требованиям.
Как развивалось расследование
В октябре Trezor сообщила об одном предположительно заражённом Safe 5, который ещё не прошёл лабораторную проверку. Компания получила сведения об устройстве 28 октября и предупредила покупателей CryptoBilis. Три случая подтвердились по итогам последующей проверки.
CryptoBilis была официальным реселлером Trezor в Юго-Восточной Азии. 9 октября Trezor удалила продавца из списка партнёров на фоне расследования Ledger о потерях средств у покупателей кошельков CryptoBilis. Подробнее о первом сообщении Trezor об импланте — в предыдущем предупреждении компании. Итоги проверки Trezor изложила в обновлении расследования.
