Trezor esorta chiunque abbia acquistato hardware wallet da CryptoBilis a partire da marzo 2026 a trasferire i fondi su un nuovo wallet con una nuova frase di recupero. The Hacker News ha riferito che l'avviso segue la scoperta, da parte di un cliente, di un presunto impianto progettato per trasmettere quella frase tramite rete mobile, anche se Trezor non ha ancora esaminato il dispositivo.
L'avviso riguarda ogni modello Trezor fornito da CryptoBilis, inclusi gli acquisti effettuati tramite altri negozi e il suo negozio su Tokopedia. La frase di recupero è il backup che consente di ripristinare l'accesso a un wallet: chiunque la ottenga potrebbe prendere il controllo dei fondi.
Trezor ha reso nota la segnalazione il 30 ottobre, due giorni dopo essere stata contattata da un cliente in Indonesia che ad agosto aveva acquistato un Safe 5 tramite CryptoBilis su Tokopedia. Il cliente ha riferito di aver trovato una scheda circuitale aggiuntiva tra la scheda principale del wallet e lo schermo, con un modulo cellulare e un'antenna. L'impianto segnalato legge il contenuto dello schermo, compresa la frase di recupero, e lo trasmette ogni volta che il dispositivo è collegato.
Trezor ha esaminato le foto e la descrizione del cliente, ha parlato con lui in videochiamata e sta organizzando la spedizione del dispositivo al proprio laboratorio. Il cliente aveva spostato i fondi prima di scoprire la scheda. Trezor ha dichiarato che nessun acquirente CryptoBilis le ha segnalato la perdita di fondi, sebbene non possa vedere le disponibilità dei clienti.
Trezor ha interrotto il rapporto con CryptoBilis, già suo rivenditore autorizzato nel Sud-est asiatico, il 9 ottobre, dopo che Ledger ha avviato un'indagine sulle perdite dei clienti legate agli acquisti presso il venditore. Ledger ha poi riferito di aver trovato un impianto che cattura la frase di recupero nel wallet di uno dei clienti coinvolti.
I proprietari interessati dovrebbero seguire le indicazioni di Trezor:
- Spostare i fondi il prima possibile su un nuovo wallet con una nuova frase di recupero. Ripristinare la vecchia frase su un altro dispositivo non protegge i fondi se quella frase è stata catturata.
- Se non è disponibile un hardware wallet sicuro, usare temporaneamente un wallet software o un exchange che si conosce.
- Lasciare inutilizzati i dispositivi non configurati e non inserirvi mai una frase di recupero esistente.
- Conservare il dispositivo e contattare il Supporto Trezor per una sostituzione o un buono per un dispositivo sostitutivo. Controllare la ricevuta o contattare il supporto se non è chiaro chi sia il venditore.
Trezor sostiene che i proprietari non possono individuare in modo affidabile le manomissioni da soli e non dovrebbero pesare o aprire i dispositivi per verificarle. Avverte inoltre che i truffatori potrebbero sfruttare l'incidente tramite email, lettere e telefonate false.
