Производитель аппаратных кошельков Trezor призвал покупателей устройств у перепродавца CryptoBilis перевести средства на новый кошелёк. Поводом стало сообщение покупателя, который обнаружил предполагаемую аппаратную закладку в Trezor Safe 5.
Покупатель из Индонезии сообщил о находке через программу ответственного раскрытия уязвимостей Trezor. Устройство было куплено на индонезийской торговой платформе Tokopedia. Trezor пока не получил его для проверки.
Что известно о предполагаемой закладке
Согласно сообщению покупателя, между основной платой устройства и экраном установлена дополнительная плата с сотовым модулем и антенной. Она якобы считывает изображение на экране, в том числе резервную копию кошелька, и передаёт данные через мобильную сеть при подключении устройства к питанию.
Trezor сообщил, что пока не проверил эти сведения. Компания считает сообщение заслуживающим доверия на основании описания покупателя и видеозаписи интервью с ним.
«Увиденное выглядит достаточно сложным, поэтому мы решили предупредить покупателей сейчас. Ожидание лабораторного подтверждения оставило бы клиентов CryptoBilis под угрозой».
Trezor сообщил, что никто из покупателей CryptoBilis не заявлял компании о потере средств. Компания рекомендует покупателям её кошельков у этого перепродавца перевести средства на новый кошелёк с новой фразой восстановления и не использовать прежнюю фразу на каких-либо устройствах. Тем, кто ещё не настроил устройство, не следует им пользоваться. Покупатели могут оставить устройство CryptoBilis у себя и обратиться в службу поддержки Trezor по вопросу замены.
Связь с расследованием Ledger
Trezor исключил CryptoBilis из списка перепродавцов на фоне расследования производителя аппаратных кошельков Ledger, изучавшего случаи потери средств клиентами, купившими устройства у этого продавца в Юго-Восточной Азии. Trezor проверил четыре устройства, приобретённых у CryptoBilis: Safe 7, два Safe 5 и Safe 3. Признаков вмешательства в их работу компания не обнаружила.
Команда безопасности Ledger Donjon нашла закладку в устройствах Ledger, проданных через CryptoBilis. Она считывает 24-словную фразу восстановления с экрана во время настройки и передаёт её через LTE. Trezor отметил, что описанная закладка «похожа по принципу работы», однако компания не стала делать выводы о связи случаев, пока расследования продолжаются, и заявила, что не знает, кто за ней стоит.
Ledger сообщил, что все подтверждённые случаи потери средств связаны с устройствами, купленными у CryptoBilis, и призвал перепродавцов в семи азиатских рынках изъять устройства компании из продажи. Один из крупнейших пострадавших — мошенник, потерявший более 60 BTC, стоимость которых оценивалась примерно в 4,8 млн долларов. Эти сведения привела компания блокчейн-аналитики Chainalysis.
Ранее сообщавшаяся утечка данных
Trezor также предупреждал клиентов о проблеме у партнёра по доставке ShipMonk: в результате утечки оказались раскрыты имена, номера телефонов и домашние адреса почти 14 000 клиентов из США. Компания сообщала, что число затронутых клиентов увеличилось ещё на 67 000.