Trezor findet den Spionagechip von CryptoBilis in eigenen Wallets und liefert eine Firmware, die ihn blind macht
Letzten Monat traf es Ledger. Hardware-Wallets, die über CryptoBilis verkauft wurden, einen Billighändler in Südostasien, enthielten einen versteckten Chip, der die Wiederherstellungsphrase des Besitzers kopierte und über das Mobilfunknetz verschickte. Jetzt bestätigt Trezor, dass es einige seiner Wallets genauso erwischt hat.
In einem Update vom 12. November schreibt Trezor, dass drei Safe 5, die zwischen dem 20. August und dem 23. September bei CryptoBilis gekauft wurden, eine zusätzliche Platine zwischen Hauptplatine und Bildschirm hatten. Die Platine lässt Firmware und Sicherheitschip in Ruhe. Sie liest einfach das Display mit, das bei der Einrichtung oder Wiederherstellung jedes Wort der Phrase und eine etwaige Passphrase zeigt, verschlüsselt das Gesehene und schickt es über das Mobilfunknetz an einen Server. Bisher haben sich 48 Kunden von CryptoBilis gemeldet, keiner der drei Besitzer hat Verluste gemeldet, und in der Ware seiner anderen Händler fand Trezor keine Manipulation.
Neu ist eine Art Gegenmittel. Die am 11. November veröffentlichte Firmware 2.13.1 enthält laut Trezor einen Schutz, der die bisher gefundenen Implantate am Mitschneiden hindert, und laut The Hacker News gilt er für Safe 7, Safe 5, Safe 3 und Model T. Gegen eine schon abgegriffene Phrase hilft er nicht. Wer bei CryptoBilis gekauft hat, sollte also aktualisieren und die Coins trotzdem auf eine neue Wallet mit frisch erzeugter Wiederherstellungsphrase umziehen. Trezor ersetzt jedes Gerät, das seit März 2026 bei diesem Händler gekauft wurde, und hat weltweit rund 80 % seiner Händler gestrichen. Außerdem warnt das Unternehmen vor Betrügern, die sich als Support ausgeben: Wenden Sie sich nur an trezor.io/support, und behandeln Sie jeden, der nach Ihren Wiederherstellungswörtern fragt, als Dieb.
Die Firmware selbst wird über Trezor Suite installiert; für die übrigen Programme auf einem Windows-PC erledigen die App-Updates von Tendvane über winget dieselbe Pflicht.