Trezor avverte gli acquirenti di CryptoBilis di trasferire i fondi per il sospetto impianto

Trezor ha invitato i clienti che hanno acquistato i suoi hardware wallet dall’ex rivenditore autorizzato CryptoBilis da marzo a trasferire i propri fondi dopo una segnalazione relativa a un sospetto impianto in un dispositivo Safe 5. 

Venerdì Trezor ha dichiarato che un cliente in Indonesia ha segnalato la presenza di una scheda elettronica non autorizzata all’interno di un Trezor Safe 5 acquistato su Tokopedia ad agosto. Secondo la segnalazione, il sospetto impianto potrebbe acquisire le informazioni visualizzate sullo schermo del dispositivo, comprese le frasi di recupero del wallet, e trasmetterle tramite una rete cellulare.

Trezor ha dichiarato di non aver ancora esaminato il dispositivo e di non aver ricevuto segnalazioni di perdite correlate.

«Non abbiamo ancora ricevuto il dispositivo nel nostro laboratorio, ma stiamo trattando la segnalazione come credibile e preferiamo avvertire le persone ora invece di aspettare una conferma e scoprire nel frattempo che qualcuno ha perso i propri fondi», ha dichiarato a Cointelegraph il chief commercial officer di Trezor, Danny Sanders. 

Un portavoce di Trezor ha dichiarato che la società ha descritto le vendite tramite il rivenditore come «molto ridotte», ma ha rifiutato di fornire cifre.

Il portavoce ha aggiunto che Trezor non ha stabilito dove sia avvenuta la manomissione sospetta e sta riesaminando le protezioni hardware, riconoscendo che le salvaguardie esistenti, compresi sigilli e imballaggio, non sono sufficienti da sole.

La manomissione dei dispositivi Ledger e i precedenti avvertimenti a Trezor

L’avvertimento segue segnalazioni di perdite di criptovalute che coinvolgono wallet Ledger venduti tramite CryptoBilis emerse il 9 ottobre. Ledger ha confermato la presenza di un impianto hardware non autorizzato in uno dei dispositivi interessati.

Il ricercatore di sicurezza Joe Grand aveva precedentemente dichiarato a Cointelegraph di aver avvertito Trezor ad agosto riguardo a wallet Trezor One e Model T manomessi acquistati tramite venditori non autorizzati su TikTok e Facebook. Trezor ha dichiarato che la sua precedente affermazione sull’assenza di prove di dispositivi compromessi si applicava solo ai wallet nuovi venduti tramite rivenditori autorizzati.

Trezor aveva dichiarato all’epoca che i controlli durante la configurazione erano rivolti ai dispositivi contraffatti e al firmware modificato, mentre l’impianto trovato in un Ledger venduto da CryptoBilis leggeva lo schermo senza modificare il firmware. Una frase di recupero rubata può consentire a un aggressore di ripristinare un wallet su un altro dispositivo e trasferirne i fondi.

Trezor ha annunciato l’intenzione di ridurre la propria rete di rivenditori il 13 ottobre.

Correlato: I wallet Ledger manomessi costano 2,7 milioni di dollari agli utenti di Singapore: la polizia