A Trezor alertou os clientes que compraram carteiras de hardware do antigo revendedor CryptoBilis para moverem seus fundos após receber um relato de um suposto implante malicioso dentro de um dispositivo Trezor Safe 5.
Resumo
- A Trezor alertou os clientes que compraram carteiras de hardware da CryptoBilis desde março de 2026 para moverem seus fundos após receber um relato de um suposto implante em um dispositivo Safe 5.
- O suposto implante, segundo relatos, contém uma placa de circuito adicional e um módulo celular capaz de capturar frases de recuperação exibidas na carteira e transmiti-las por uma rede móvel.
- A Trezor ainda não examinou fisicamente o dispositivo relatado, mas afirmou que as informações fornecidas pelo cliente eram credíveis o suficiente para emitir um alerta. Nenhuma perda de cliente foi relatada à empresa.
- A CryptoBilis foi removida como revendedora autorizada da Trezor em 9 de outubro, após a Ledger confirmar que algumas carteiras de hardware vendidas pelo mesmo revendedor haviam sido fisicamente adulteradas.
- A Trezor aconselhou os clientes afetados a criar novas carteiras com novas frases de recuperação e está oferecendo dispositivos de substituição ou vouchers aos compradores elegíveis.
De acordo com um anúncio de 30 de outubro, a empresa recebeu uma divulgação de segurança em 28 de outubro referente a uma carteira comprada por meio da CryptoBilis no Tokopedia em agosto de 2026.
O dispositivo foi comprado por um cliente na Indonésia, que relatou ter encontrado uma placa de circuito adicional dentro da carteira que poderia potencialmente expor informações sensíveis, incluindo a frase de recuperação usada para acessar participações em criptomoedas.
A Trezor disse que revisou fotografias e entrevistou o cliente por meio de uma videochamada, mas ainda não examinou fisicamente o dispositivo. A empresa considera o relato credível e aconselhou os clientes que compraram qualquer modelo Trezor da CryptoBilis desde março de 2026 a tomarem precauções.
Nenhum cliente que comprou dispositivos Trezor por meio do revendedor relatou perda de fundos, segundo a empresa.
Implante no Trezor Safe 5 poderia transmitir frases de recuperação da carteira
O suposto implante, segundo relatos, consiste em uma placa de circuito extra posicionada entre a placa principal da carteira e sua tela. Ele contém um módulo celular e uma antena que poderiam permitir que as informações exibidas no dispositivo fossem transmitidas por uma rede móvel.
Com base na descrição do cliente, o hardware adicional parece capaz de ler a tela, incluindo a frase de recuperação gerada durante a configuração da carteira, e transmitir essas informações sempre que o dispositivo estiver conectado à energia.
Qualquer pessoa que obtenha a frase de recuperação de uma carteira poderia potencialmente restaurá-la em outro dispositivo e transferir seus fundos sem precisar do hardware original.
O cliente que descobriu o suposto implante já havia transferido suas criptomoedas para fora do dispositivo antes de identificar o hardware adicional.
A Trezor disse que sua equipe de segurança está providenciando o recebimento da carteira para exame em laboratório. Os investigadores não identificaram quem instalou o suposto implante nem estabeleceram se os mesmos atacantes foram responsáveis pelo incidente anterior da Ledger.
CryptoBilis foi anteriormente ligada a carteiras Ledger adulteradas
O alerta segue uma investigação envolvendo dispositivos Ledger vendidos por meio da CryptoBilis, que anteriormente operava como revendedora autorizada de ambos os fabricantes de carteiras de hardware no Sudeste Asiático.
Em 9 de outubro, a Ledger começou a investigar relatos de perdas de criptomoedas entre clientes que haviam comprado suas carteiras por meio da revendedora.
Como o crypto.news relatou anteriormente, a Ledger subsequentemente confirmou que um componente não autorizado dentro de um dispositivo afetado poderia capturar frases de recuperação exibidas durante a configuração e transmiti-las por meio de uma conexão celular LTE.
O implante de hardware oculto operava separadamente do chip de segurança do dispositivo, deixando seu sistema operacional normal e as funções de assinatura de transações inalterados.
A Trezor respondeu aos relatos iniciais removendo a CryptoBilis de sua rede de revendedores autorizados em 9 de outubro e pedindo aos clientes que enviassem seus dispositivos para inspeção.
Até 19 de outubro, a empresa havia recebido quatro carteiras compradas por meio da CryptoBilis, incluindo dois dispositivos Trezor Safe 5, um Safe 7 e um Safe 3. Nenhum apresentou sinais de adulteração física durante a inspeção.
O implante suspeito divulgado em 28 de outubro diz respeito a um dispositivo Safe 5 separado que não havia sido incluído nesses exames.
A investigação sobre os dispositivos Ledger continuou. Em 29 de outubro, a empresa de análise de blockchain Arkham Intelligence rastreou US$ 95,35 milhões em suspeitas de roubos envolvendo 1.486 endereços entre 7 e 9 de outubro.
A Arkham relatou que aproximadamente US$ 10 milhões em USDT haviam sido congelados, enquanto o atacante continuava movimentando criptomoedas roubadas por várias redes de blockchain.
Separadamente, a polícia de Singapura relatou perdas de S$ 3,5 milhões em criptomoedas em dois casos envolvendo dispositivos Ledger adulterados comprados de varejistas locais.
A Trezor desde então restringiu sua rede de revendedores autorizados e está trabalhando com a Ledger e outras partes que investigam os ataques relatados.
Trezor aconselha clientes da CryptoBilis a criar novas carteiras
Clientes que compraram dispositivos Trezor da CryptoBilis a partir de março de 2026 foram aconselhados a transferir suas criptomoedas para uma carteira recém-criada com uma frase de recuperação completamente nova.
A empresa alertou que importar uma frase de recuperação existente para outra carteira de hardware ou software não eliminaria o risco se essa frase já tivesse sido exposta.
Usuários sem outra carteira de hardware segura podem transferir temporariamente seus fundos para uma carteira de software conhecida ou uma exchange de criptomoedas. A Trezor aconselhou os clientes a verificar cuidadosamente os endereços de recebimento antes de fazer transferências.
Qualquer pessoa que comprou um dispositivo mas ainda não o configurou deve evitar configurá-lo ou inserir uma frase de recuperação existente.
O aviso abrange todos os modelos Trezor fornecidos pela CryptoBilis, incluindo dispositivos vendidos por meio da Tokopedia e de outras lojas que obtiveram seu estoque do revendedor.
A Trezor disse que os clientes não devem tentar identificar adulteração abrindo ou pesando suas carteiras. Embora o cliente que relatou o implante tenha notado uma diferença de peso, a empresa afirmou que medições de peso não podem estabelecer de forma confiável se um dispositivo foi modificado.
Clientes que compraram dispositivos da CryptoBilis durante o período especificado têm direito a uma carteira de substituição enviada diretamente pela Trezor ou a um voucher que cobre o custo de um novo dispositivo.
A Trezor alertou que golpistas podem explorar o incidente por meio de e-mails, cartas e ligações telefônicas fraudulentas. Os clientes foram lembrados de nunca divulgar suas frases de recuperação, inclusive a qualquer pessoa que alegue representar a equipe de suporte da empresa.
A investigação está sendo conduzida com a assistência da SEAL 911, o serviço de resposta a emergências da Security Alliance, que vem aconselhando a Trezor sobre sua resposta aos clientes afetados.
