Trezor получила достоверное, по оценке компании, сообщение о возможной аппаратной закладке в кошельке Safe 5, купленном в Индонезии в августе 2026 года. Подозрительная дополнительная плата с сотовым модулем и антенной могла считывать данные с экрана и передавать их через мобильную сеть — а значит, под угрозой оказываются не только криптоактивы, но и базовое доверие к устройствам, которые покупают именно ради офлайн-защиты. Для тех, кто использует аппаратные криптокошельки в России и за её пределами, история — напоминание: безопасность заканчивается там, где начинается непрозрачная цепочка поставок.
О происшествии сообщает BleepingComputer. По данным Trezor, устройство было продано через магазин CryptoBilis на маркетплейсе Tokopedia. Владелец, вскрыв Safe 5, обнаружил между основной платой и экраном ещё одну плату. Пока это не подтверждённый результат экспертизы: сам образец ещё направляется производителю, и Trezor не заявляет, что уже установила факт компрометации. Но предварительное описание выглядит тревожно: встроенный модуль, предположительно, мог фиксировать информацию на дисплее, включая фразу восстановления, когда устройство подключено к питанию.
Фраза восстановления — это не обычный пароль, который можно быстро поменять после инцидента. Тот, кто получил её, способен восстановить кошелёк на другом устройстве и распоряжаться активами без доступа к оригинальному Safe 5. Поэтому Trezor рекомендует не настраивать и не использовать устройства, купленные через CryptoBilis с марта 2026 года. Если кошелёк уже был инициализирован, компания советует создать новый кошелёк с новой фразой восстановления и перевести на него средства. Покупатели с подтверждением покупки могут обратиться за заменой либо ваучером на новое устройство.
CryptoBilis фигурирует и в недавнем инциденте с устройствами Ledger. В начале октября сообщалось о похожих по форме и предполагаемой функции имплантах; позднее Ledger подтвердил компрометацию и попросил продавцов и дистрибьюторов в Юго-Восточной Азии и Гонконге приостановить продажи на время расследования. На этом фоне Trezor ещё 9 октября остановила продажи через CryptoBilis, хотя тогда компания не располагала данными о затронутых собственных устройствах. Теперь производитель обещает пересмотреть и усилить глобальную сеть реселлеров.
Прямая связь между эпизодами пока не доказана, но совпадение канала продаж и конструктивного подхода к атаке выглядит слишком заметным, чтобы списывать его на единичную ошибку. В отличие от фишингового сайта или вредоносного расширения, такая атака встраивается в железо до того, как покупатель получает коробку. Пользователь может проверить пломбу, скачать официальное приложение и выполнить все привычные шаги безопасности — но доверяет уже изменённому устройству. Это неприятный сценарий для любого бизнеса, который считает физическую поставку «решённой задачей».
Trezor заявляет, что пока не знает о кражах средств, связанных с предполагаемой атакой. У Ledger, напротив, уже появились сообщения о потерях пользователей; полиция Сингапура недавно добавила к известной сумме ущерба ещё 3,5 млн долларов. Эти цифры нельзя автоматически переносить на случай с Safe 5: расследование Trezor не завершено, а конкретный образец ещё не изучен. Однако сам масштаб последствий в соседнем инциденте объясняет, почему компания выбрала не ожидание лабораторного заключения, а публичное предупреждение и рекомендацию немедленно перевыпустить секреты.
Для команд, работающих с криптоактивами, вывод практический. Аппаратные криптокошельки нельзя закупать как обычную периферию через самого дешёвого посредника, а затем хранить в учёте строкой «защищённое устройство». Нужны утверждённые каналы покупки, фиксация серийных номеров и происхождения партий, процедура первичной настройки в контролируемой среде и план быстрой ротации ключей. Особенно это касается стартапов, криптопроектов и компаний, где один сид-фраза или один мультиподписной ключ участвует в доступе к казначейству. Закладка в одном устройстве не обязательно ломает мультиподпись, но отлично показывает, почему её не стоит строить из однотипных кошельков, купленных у одного поставщика.
Отдельно Trezor предупреждает, что взвешивание устройства не поможет надёжно обнаружить вмешательство. Совет кажется очевидным, но вокруг аппаратных кошельков регулярно возникают бытовые методы проверки: сравнить массу, осмотреть коробку, сверить серийный номер. Они могут выявить грубую подделку, но не дают гарантии против аккуратно встроенной платы. Сигнал для производителей и реселлеров тоже вполне конкретный: аудит должен охватывать не только прошивку и фабрику, но и складирование, локальную дистрибуцию, возвраты и маркетплейсы.
Расследование покажет, была ли плата в Safe 5 рабочим инструментом кражи или отдельным, пока не подтверждённым случаем. Но рынок уже получил более важный урок: офлайн-хранение не отменяет риск цепочки поставок. Чем дороже активы и чем длиннее путь устройства до пользователя, тем меньше оснований считать пломбу на коробке достаточной моделью доверия.
