Компания Trezor сообщила в официальном уведомлении, что получила заслуживающее доверия сообщение об аппаратной закладке в Safe 5, приобретённом у бывшего реселлера CryptoBilis. Компания предупредила всех, кто купил устройство Trezor у CryptoBilis начиная с марта 2026 года, обратиться за заменой или ваучером, а при уже начатом использовании — перевести средства в заново созданный кошелёк с новой сид-фразой. По данным Trezor, сообщение в рамках процедуры ответственного раскрытия уязвимости датировано 2026/10/28.

Каких покупателей CryptoBilis касается предупреждение Trezor

В публичном уведомлении Trezor описан один заслуживающий доверия случай обнаружения закладки в Safe 5, однако компания распространила предупреждение на всех, кто приобрёл устройство Trezor у CryptoBilis начиная с марта 2026 года. Таким образом, фактический круг пользователей, которым необходимы меры защиты, шире числа публично описанных устройств.

Согласно версии Trezor, о котором идёт речь Safe 5 был куплен в августе 2026 года у CryptoBilis через Tokopedia. Trezor называет CryptoBilis своим бывшим официальным реселлером в Юго-Восточной Азии. Клиенты, купившие устройства в указанный период, могут получить либо замену, отправленную напрямую Trezor, либо ваучер на новое устройство.

В предоставленном Flash содержится более серьёзное утверждение: якобы наличие закладок подтверждено в трёх устройствах Safe 5. Однако проверенное уведомление Trezor этого числа не подтверждает: в нём упомянуто одно устройство, о котором поступило сообщение, при этом Trezor заявляет, что самостоятельно его не исследовала.

Почему Trezor считает новую сид-фразу главным приоритетом

Если устройство уже использовалось, Trezor рекомендует перевести средства в заново созданный кошелёк с новой сид-фразой. Компания также советует не использовать старую резервную копию: её импорт в другой кошелёк не устранит риск компрометации.

По данным Trezor, клиент сообщил о дополнительной печатной плате, установленной между основной платой и экраном; на ней находились сотовый модуль и антенна. Как утверждается в этом сообщении, добавленная плата могла считывать данные с экрана, включая информацию для резервного копирования кошелька, и передавать их через мобильную сеть при включении устройства. Trezor прямо заявила, что не проверяла этот механизм самостоятельно, исследовав устройство.

Это различие существенно, поскольку действия пользователя определяются тем, какие данные могли быть раскрыты ещё при первоначальной настройке, а не только возможностью позднее отключить само оборудование. Trezor также сообщила, что на момент публикации уведомления ни один покупатель CryptoBilis не заявил компании о потере средств. Тем не менее пользователям из затронутой категории, уже использовавшим устройство, было рекомендовано перейти на новую сид-фразу.

Что известно о прошивке, а что остаётся невыясненным

В предоставленном Flash говорится, что прошивка версии 2.13.1 способна отключить обнаруженные закладки. Однако проверенная запись Trezor о прошивках не подтверждает ни существование этой версии, ни наличие исправления, специально предназначенного для устранения закладок. Последняя проверенная официальная запись в журнале изменений Safe 5 относится к версии 2.13.0 от 2026/10/21.

Это не доказывает, что более поздняя версия прошивки не выпускалась. Однако из проверенных материалов Trezor следует, что документально подтверждёнными мерами остаются замена устройства или ваучер для покупателей CryptoBilis начиная с марта 2026 года, а также перевод средств в заново созданный кошелёк с новой сид-фразой, если устройство уже использовалось.

То же ограничение относится и к более серьёзному утверждению Flash о трёх Safe 5 с подтверждёнными закладками. Проверенное уведомление Trezor подтверждает одно заслуживающее доверия, но не исследованное самой компанией сообщение, тогда как большее число устройств и утверждение об устранении проблемы в версии 2.13.1 остаются неразрешёнными в предоставленном Flash.