Коротко
- Компания Trezor рекомендовала клиентам переместить средства после сообщения о возможном вмешательстве в устройство Safe 5 в Индонезии.
- Подозрительная плата могла считывать данные с экрана, включая сид-фразы, и передавать их через сотовую сеть.
- Ранее подобные случаи компрометации аппаратных кошельков были зафиксированы у конкурента Ledger.
- Инцидент важен для безопасности инвесторов, так как аппаратные кошельки считаются самым надежным способом хранения криптовалюты.
Компания Trezor призвала клиентов, купивших аппаратные кошельки у бывшего официального реселлера CryptoBilis начиная с марта, переместить свои средства после сообщений о возможном внедрении стороннего чипа в устройство Safe 5.
В пятницу компания сообщила, что клиент из Индонезии обнаружил несанкционированную печатную плату внутри кошелька Trezor Safe 5, купленного на платформе Tokopedia в августе. Согласно данным отчета, предполагаемый жучок мог перехватывать информацию с экрана устройства, включая сид-фразы для восстановления доступа, и передавать её по сотовой сети.
В Trezor отметили, что еще не успели изучить устройство и пока не получали жалоб о связанных с этим инцидентом финансовых потерях.
У нас пока не было возможности исследовать устройство в лаборатории, однако мы считаем этот отчет заслуживающим доверия и предпочитаем предупредить пользователей заранее, чем ждать подтверждения и узнать, что кто-то лишился своих денег, заявил коммерческий директор Trezor Дэнни Сандерс изданию Cointelegraph.
Представитель Trezor охарактеризовал объемы продаж через этого реселлера как весьма незначительные, но отказался называть точные цифры.
Представитель также добавил, что компания пока не выяснила, на каком именно этапе произошло предполагаемое вмешательство в конструкцию, и в настоящее время пересматривает свои меры защиты оборудования, признавая, что традиционные защитные элементы вроде пломб и упаковки сами по себе уже недостаточчны.
Взломы устройств Ledger и более ранние предупреждения в адрес Trezor
Это предупреждение появилось на фоне сообщений о хищениях криптовалюты с использованием кошельков Ledger, приобретенных через CryptoBilis, которые стали достоянием общественности 9 октября. В компании Ledger подтвердили наличие постороннего аппаратного модуля в одном из пострадавших устройств.
Ранее специалист по безопасности Джо Гранд заявлял изданию Cointelegraph, что еще в августе предупреждал Trezor о модифицированных кошельках моделей Trezor One и Model T, проданных неавторизованными продавцами через TikTok и Facebook. В Trezor пояснили, что их прежнее заявление об отсутствии следов взлома относилось исключительно к новым кошелькам из официальной розничной сети.
В компании тогда подчеркнули, что встроенные проверки нацелены на выявление подделок и измененной прошивки, тогда как модуль, найденный в кошельке Ledger от CryptoBilis, считывал данные с экрана без вмешательства в ПО. Украденная фраза восстановления позволяет злоумышленникам восстановить кошелек на другом устройстве и похитить средства.
13 октября компания Trezor объявила о планах по сокращению своей сети сторонних реселлеров.
Термины в новости
- Seed-фраза
- Набор из 12 или 24 слов, из которого кошелёк восстанавливает все ключи. Её нельзя хранить в облаке и никому сообщать.
- Холодный (аппаратный) кошелёк
- Устройство или носитель, хранящий ключи без подключения к интернету, например Ledger или Trezor. Самый надёжный способ хранить крупные суммы.
