Trezor ilmoittaa epäillystä vakoojaistutuksesta CryptoBilis-lompakossa

Trezor on sekaantunut CryptoBilis-sotkuun. Yhtiö kertoi X:ssä, että Kaakkois-Aasian jälleenmyyjän kautta myymässä Safe 5 -lompakossa on merkkejä manipuloinnista. Kyseessä on sama jälleenmyyjä, jonka Ledger-lompakoista tyhjennettiin arviolta 72–93 miljoonaa dollaria aiemmin tässä kuussa.

__LYHYTKOODIN_TUNNUS_0__

Yksi korjaus tapaan, jolla tätä väitetään uudelleen: kyseessä ei ole kolmannen osapuolen ohjelmisto. Trezorin oma paljastus kuvaa laitteistoa. Indonesialainen asiakas avasi Safe 5 -laitteensa ja löysi päälevyn ja näytön välistä ylimääräisen piirilevyn, johon oli asennettu matkapuhelinmoduuli ja antenni. Hänen raporttinsa mukaan piirilevy lukee näytön näyttämän tiedon, palautuslauseke mukaan lukien, ja lähettää sen matkapuhelinverkon kautta aina, kun laite on kytketty pistorasiaan.

Hän osti lompakon elokuussa Tokopedian kautta, jossa CryptoBilisilla on kauppa. Hän ilmoitti siitä 28. lokakuuta Trezorin vastuullisen tiedonantoohjelman kautta ja oli jo siirtänyt varojaan laitteelta ennen kuin löysi kortin. Trezorin mukaan yksikään CryptoBilisin ostaja ei ole kertonut sille tappiosta.

Tähän liittyy yksi iso varauma. Trezor ei ole vielä nähnyt laitetta. Se piti raporttia uskottavana valokuvien ja toimittajan kanssa tehdyn videohaastattelun perusteella ja sanoo, että sen turvallisuustiimi tutkii laitteen sen saavuttua. Kaikki alla oleva perustuu tähän.

Mitä Trezor haluaa ostajien tekevän

Kaikkien, jotka ovat ostaneet Trezorin CryptoBilisista maaliskuun 2026 jälkeen, tulisi siirtää varat uuteen lompakkoon uudella siemenellä, eikä vanhaa varmuuskopiota tulisi käyttää uudelleen toisella laitteella. Jos ylimääräistä laitteistolompakkoa ei ole, Trezor ehdottaa ohjelmistolompakkoa tai tuttua pörssiä väliaikaiseksi ratkaisuksi. Laitteet, joita ei koskaan otettu käyttöön, tulisi pitää sellaisina. Asianomaiset ostajat voivat saada korvaavan laitteen suoraan toimitettuna tai lahjakortin, ja Trezor pyytää heitä pitämään CryptoBilisin laitteen ja ottamaan yhteyttä tukeen.

Se odottaa myös tietojenkalasteluhyökkäyksiä. Väärennetyt sähköpostit, kirjeet ja puhelut ovat todennäköisiä, ja Trezor toistaa, ettei kukaan tuesta kysy palautuslauseketta.

Mark Karpelès, joka on julkisesti analysoinut peukaloituja lompakoita Ledger-tarinan julkistamisen jälkeen, vahvisti varoituksen sanomalla "Ledger ei ole ainoa" ja tarjoutui kattamaan toimituksen ja analysoimaan kaikki laitteet, joista ihmiset ovat epävarmoja.

__LYHYTKOODIN_TUNNUS_1__

Miten Ledger-puoli pelasi

Ledger aloitti tutkinnan 9. lokakuuta sen jälkeen, kun CryptoBiliksen asiakkaat ilmoittivat tyhjentyneistä lompakoista. Päivää myöhemmin se vahvisti, että yhdessä kyseisessä laitteessa oli luvaton implantti. Lokakuun 13. päivänä sen Donjon-tietoturvatiimi julkaisi toimintaperiaatteen: implantti on kotelon sisällä ja lukee näyttöä, ja kun 24-sanainen lauseke ilmestyy asennuksen aikana, mikrokontrolleri dekoodaa sen ja lähettää sen LTE:n kautta valmiiksi määritetyn eSIMin kautta. Secure Element, käyttöjärjestelmä ja tapahtuma-allekirjoitukset pysyvät koskemattomina, minkä vuoksi peukaloitu Ledger näyttää ja toimii normaalisti.

__LYHYTKOODIN_TUNNUS_2__

Rahaa on vaikeampi paikantaa. Bitquery laski noin 93,2 miljoonaa dollaria 315 lompakossa kuudella eri ketjulla, Specter arvioi sen yli 86 miljoonan dollarin arvoksi ja tanuki42 aloitti 72 miljoonan dollarin arvosta. Zetterin raportit ulottuvat jopa 100 miljoonan dollarin tasolle. Ledger ei ole vahvistanut yhtäkään näistä, vaikka se sanookin, että jokainen vahvistettu tappio juontaa juurensa CryptoBilisiin. CoinDeskin mukaan Tether jäädytti 10 miljoonaa dollaria varkauteen liittyen USDT:ssä.

Vahinko ei rajoittunut yhden jälleenmyyjän asiakkaisiin. MediaMarkt Saturn lopetti Ledger-laitteiden myynnin Saksan myymälöissään ja verkossa sen jälkeen, kun asiakas ilmoitti siellä implantista, ja Singaporen poliisi antoi 28. lokakuuta varoituksen paikallisista jälleenmyyjistä ostetuista Ledger-laitteista. Ledgerin toimitusjohtaja Pascal Gauthier sanoi johtavansa itse tutkintaa.

"Ei ainuttakaan todistetta" -ongelma

Trezorin oma aikajana on hieman kiusallinen. Sen mukaan se poisti CryptoBilis-ohjelman käytöstä 9. lokakuuta, päivänä jolloin Ledgerin ongelmat alkoivat. 13. lokakuuta se ilmoitti jälleenmyyjilleen katkaisevansa verkkonsa, ja valtuutukset päättyvät 1. tammikuuta 2027. Ja kaupallinen johtaja Danny Sanders kirjoitti, ettei "ole olemassa yhtäkään todistetta siitä, että Trezorin laitteita olisi vaarannettu".

__LYHYTKOODIN_TUNNUS_3__

Samana päivänä toimittaja Kim Zetter raportoi, että laitteistohakkeri Joe Grand oli löytänyt implantteja kahdesta Trezor-lompakosta ja ilmoittanut asiasta yritykselle elokuussa. Toinen oli Kanadan Facebook Marketplacen kautta ostettu Model T ja toinen TikTok-kaupasta ostettu Trezor One. Trezor vastasi, että Sanders tarkoitti uusia laitteita valtuutetuilta jälleenmyyjiltä ja että Grandin laitteet olivat väärennöksiä luvattomilta myyjiltä. Trezor on varoittanut tästä tunnetusta tempusta vuodesta 2022 lähtien.

Nuo olivat erityyppisiä hyökkäyksiä. Peukaloidut sirut tuottivat esiladattuja siemenlausekkeita, jotka hyökkääjät jo tiesivät. CryptoBilisin raportti, jos se pitää paikkansa, on Ledgersissä nähty kaltainen ruudunlukulaite, ja se tulee valtuutetun kanavan kautta, mikä on juuri se raja, jota Trezorin mukaan ei ollut ylitetty. Zetter oli varoittanut, että luvattomien myyjien tapaukset saattavat olla edelläkävijöitä.

Mitä kukaan ei vielä tiedä

Kukaan ei ole kertonut, kuka on asian takana. Kukaan ei ole kertonut, missä peukalointi tapahtui, oliko se jälleenmyyjän varastolla, kuljetuksen aikana vai jossain aiemmin. Ledgerin lausunnot eivät syytä CryptoBilisen osallisuutta, eikä mikään julkinen todiste vahvista sitä. Trezor kieltäytyy vertaamasta itseään Ledgeriin ennen kuin sen laboratoriolla on kortti hallussaan, ja sanoo jakavansa tietoja Ledgerin ja muiden tutkijoiden kanssa, SEAL 911:n neuvoessa asiakastuen suhteen.

Palaan yhä uudelleen laitteistolompakon perusajatukseen: sinun ei pitäisi joutua luottamaan kehenkään tehtaan ja työpöytäsi välillä. Kaksi merkkiä on nyt saanut tämän oletuksen läpi saman jälleenmyyjän kautta, ja toinen heistä odottaa edelleen laatikkoa saapuvaksi.