Trezor vindt implantaten in drie Safe 5-wallets en snoeit reseller-netwerk met 80%
Trezor maakte op 12 november bekend dat drie Safe 5-hardwarewallets, verkocht via reseller CryptoBilis, verborgen mobiele printplaten bevatten, en dat het zijn reseller-netwerk met ongeveer 80% heeft ingekrompen. Firmware 2.13.1, een dag eerder uitgebracht, is bedoeld om te voorkomen dat de implantaten herstelwoorden onderscheppen, maar Trezor zegt dat getroffen gebruikers hun geld alsnog moeten overzetten naar een nieuwe wallet met een nieuwe seed.
Geschreven door de AI-redactie van CoinArticle · op basis van 2 geciteerde bronnen. Hoe we werken
Drie bevestigde implantaten
Trezor heeft bevestigd dat drie Safe 5-hardwarewallets fysiek waren gemanipuleerd voordat ze bij klanten terechtkwamen, volgens zijn onderzoeksupdate van 12 november. Elk apparaat bevatte een extra printplaat met een mobiele module en antenne, geplaatst tussen het hoofdbord en het scherm. De apparaten werden verkocht via CryptoBilis, een reseller in Zuidoost-Azië, tussen 20 augustus en 23 september 2026.
Bronnen verschillen in hoe de bevestigingen tot stand kwamen. Crypto Briefing meldt dat Trezor één getroffen toestel in zijn laboratorium onderzocht en voor de andere twee op foto's vertrouwde. Crypto.news meldt dezelfde verdeling en stelt dat het eerste apparaat in het laboratorium van Trezor werd onderzocht en de andere twee werden geïdentificeerd aan de hand van foto's van eigenaars. Beide berichten zeggen dat in totaal 48 apparaten zijn gecontroleerd, waarvan er slechts drie implantaten bleken te bevatten.
Reikwijdte en verkoopkanaal
Trezor zegt dat zijn bredere onderzoek geen sporen van manipulatie vond in andere Safe 5-toestellen of in apparaten van andere resellers in de regio, en geen implantaat in andere Trezor-modellen. Het bedrijf omschrijft de inbreuk als beperkt tot het verkoopkanaal van CryptoBilis en niet tot de eigen productielijn. Crypto.news voegt toe dat de drie apparaten werden gekocht via de winkels van CryptoBilis op Tokopedia en Shopee of rechtstreeks bij de reseller, en dat Trezor sinds zijn oproep in oktober van 48 kopers van CryptoBilis heeft gehoord.
Hoe het implantaat werkte
Volgens het embedded engineeringteam van Trezor, dat de firmware van het implantaat uitlas en analyseerde, zat het apparaat tussen het hoofdbord en het scherm van de Safe 5 en kopieerde het de informatie die op het scherm werd getoond, zonder de eigen firmware of Secure Element van de wallet te wijzigen. Het herkende herstelwoorden die tijdens het aanmaken van een back-up en tijdens het herstellen van een wallet werden getoond, en kon op dezelfde manier getoonde passphrases vastleggen. Onderschepte gegevens werden versleuteld en via een mobiel netwerk naar een door de aanvaller beheerde server gestuurd, met nieuwe pogingen wanneer er geen verbinding beschikbaar was.
Firmwarefix en advies aan klanten
Firmwareversie 2.13.1 kwam op 11 november uit. Trezor zegt dat de update voorkomt dat het implantaat informatie vastlegt op apparaten die deze draaien. Crypto.news legt uit dat engineers de volgorde van de commando's naar het scherm hebben gewijzigd, zodat de triggerreeks van het implantaat niet meer afgaat. Trezor heeft geen financiële verliezen van klanten gemeld.
Het advies van Trezor aan kopers van CryptoBilis is met de update niet veranderd. Het bedrijf zegt dat die klanten hun geld alsnog moeten overzetten naar een nieuw aangemaakte wallet met een nieuwe seed-zin, omdat herstelwoorden die vóór de installatie zijn onderschept al blootgesteld kunnen zijn. Eerder advies luidde dat klanten geen oude herstelzin in een andere wallet moeten importeren, en dat ze een bij CryptoBilis gekocht apparaat niet moeten instellen of er een bestaande back-up op moeten invoeren.
Herziening van het reseller-netwerk en tijdlijn
Trezor heeft CryptoBilis op 9 oktober 2026 als geautoriseerde reseller verwijderd, na meldingen over gemanipuleerde Ledger-wallets die via hetzelfde bedrijf waren verkocht. Het daaropvolgende onderzoek begon met een verantwoorde melding op 28 oktober, naar aanleiding van een Safe 5 die in augustus bij Tokopedia was gekocht. Trezor gaf op 30 oktober zijn eerste waarschuwing uit over een vermoedelijk Trezor-implantaat.
Trezor heeft zijn geautoriseerde reseller-netwerk bovendien met ongeveer 80% ingekort. Crypto.news meldt dat de verwijderde resellers betrouwbaar waren en geen directe dreiging vormden, maar niet voldeden aan de strengere eisen die nu gelden voor de overgebleven partners, onder meer voor de manier waarop apparaten worden ingekocht, opgeslagen en benaderd.
Waarom het ertoe doet
Voor traders
Houders van Safe 5-toestellen die bij CryptoBilis zijn gekocht, moeten op korte termijn hun geld migreren, wat relevant kan zijn voor posities die verband houden met de custodystromen van Trezor.
Voor beleggers
De inbreuk beperkt zich tot één resellerkanaal en Trezor meldt geen verliezen, maar de inkrimping van het netwerk met 80% wijst op een strakker en duurder distributiemodel voor leveranciers van hardwarewallets.
Voor bouwers
Het implantaat heeft het vertrouwen in het weergavepad ondermijnd, dus teams die hardware-ondertekenflows uitbrengen moeten nagaan hoe gevoelige seed-woorden worden weergegeven en of de volgorde van commando's misbruikt kan worden.
Dit artikel is alleen bedoeld ter informatie en is geen financieel advies. Lees de volledige disclaimer.
