Trezor trova il chip spia di CryptoBilis nei propri wallet e rilascia un firmware che lo acceca
Il mese scorso era toccato a Ledger. Wallet hardware venduti tramite CryptoBilis, un rivenditore a prezzi stracciati del Sud-est asiatico, contenevano un chip nascosto che copiava la frase di recupero del proprietario e la inviava attraverso la rete mobile. Ora Trezor conferma che alcuni dei suoi wallet hanno subito lo stesso trattamento.
In un aggiornamento datato 12 novembre, Trezor spiega che tre Safe 5 acquistati da CryptoBilis tra il 20 agosto e il 23 settembre avevano un circuito stampato in più, infilato tra la scheda principale e lo schermo. Il circuito non tocca né il firmware né il chip di sicurezza. Si limita a leggere il display, che durante la configurazione o il ripristino mostra ogni parola di recupero ed eventuale passphrase, cifra ciò che vede e lo invia a un server tramite la rete mobile. Finora si sono fatti avanti 48 clienti di CryptoBilis, nessuno dei tre proprietari ha segnalato perdite e Trezor non ha trovato manomissioni nella merce degli altri rivenditori.
La novità è una sorta di rimedio. Il firmware 2.13.1, rilasciato l'11 novembre, include una protezione che secondo Trezor impedisce agli impianti individuati di catturare qualsiasi cosa, e The Hacker News riferisce che copre Safe 7, Safe 5, Safe 3 e Model T. Non può però nulla contro una frase già catturata. Se avete comprato da CryptoBilis, quindi, aggiornate e spostate comunque le vostre criptovalute su un nuovo wallet con una frase di recupero generata da zero. Trezor sostituisce qualsiasi dispositivo acquistato da quel rivenditore da marzo 2026 e ha eliminato circa l'80% dei suoi rivenditori nel mondo. Avverte anche che alcuni truffatori si spacciano per il suo supporto: rivolgetevi solo a trezor.io/support e trattate come un ladro chiunque vi chieda le parole di recupero.
Il firmware si installa da Trezor Suite; per gli altri programmi di un PC Windows, gli aggiornamenti delle app di Tendvane tramite winget si occupano della stessa incombenza.