شرکت تولیدکننده کیف پول‌های سخت‌افزاری ترزور (Trezor) به مشتریانی که دستگاه‌های خود را از طریق فروشنده واسطه CryptoBilis خریداری کرده‌اند، هشدار داده است. این هشدار پس از آن صادر شد که گزارش‌هایی مبنی بر کشف یک قطعه سخت‌افزاری مخرب در دستگاه Trezor Safe 5 منتشر شد. ترزور هنوز این دستگاه را به طور کامل بررسی نکرده، اما این گزارش را معتبر دانسته و از خریداران خواسته است تا دارایی‌های خود را جابجا کنند.
یکی از مشتریان در اندونزی این قطعه مخرب را از طریق برنامه افشای مسئولانه ترزور در تاریخ ۲۸ اکتبر گزارش کرده است. این دستگاه Safe 5 در ماه آگوست ۲۰۲۶ از طریق CryptoBilis در پلتفرم تجارت الکترونیک اندونزیایی Tokopedia خریداری شده بود.
جزئیات قطعه مخرب کشف شده
گزارش حاکی از آن است که یک برد مدار اضافی بین برد اصلی دستگاه و صفحه نمایش آن قرار گرفته که شامل یک ماژول سلولی و آنتن است. بر اساس این گزارش که ترزور هنوز صحت آن را تایید نکروته، این برد، اطلاعات صفحه نمایش، از جمله عبارت بازیابی کیف پول را می‌خواند و هنگامی که دستگاه به برق متصل است، آن را از طریق شبکه موبایل ارسال می‌کند.
ترزور با وجود اینکه هنوز دستگاه را دریافت نکرده، به دلیل توصیفات مشتری و مصاحبه ویدیویی، این گزارش را معتبر تلقی می‌کند. این شرکت اعلام کرده است: «آنچه دیده‌ایم به اندازه‌ای پیچیده به نظر می‌رسد که تصمیم گرفتیم اکنون به مشتریان هشدار دهیم. منتظر تایید آزمایشگاهی ماندن، خریداران CryptoBilis را در این مدت در معرض خطر قرار می‌داد.»
تاکنون هیچ کدام از خریداران CryptoBilis گزارشی مبنی بر از دست دادن وجوه خود به ترزور ارائه نکرده‌اند.
دستورالعمل ترزور برای مشتریان
ترزور از هر کسی که از ماه مارس ۲۰۲۶ به بعد کیف پول ترزور خود را از CryptoBilis خریداری کرده است، درخواست می‌کند تا هر چه سریع‌تر دارایی‌های خود را به یک کیف پول جدید با یک عبارت بازیابی جدید منتقل کرده و از عبارت بازیابی قبلی روی هیچ دستگاهی مجدداً استفاده نکنند. خریدارانی که هنوز دستگاه خود را راه‌اندازی نکرده‌اند، نباید از آن استفاده کنند. مشتریان متضرر می‌توانند دستگاه CryptoBilis خود را نگه دارند و برای دریافت جایگزین با پشتیبانی ترزور تماس بگیرند.
سابقه مشکلات با CryptoBilis
ترزور در تاریخ ۹ اکتبر، CryptoBilis را از لیست فروشندگان خود حذف کرد. این اقدام پس از آن صورت گرفت که شرکت همکار، تولیدکننده کیف پول سخت‌افزاری Ledger، تحقیقاتی را درباره از دست دادن دارایی مشتریانی که دستگاه‌های خود را از این فروشنده در جنوب شرقی آسیا خریده بودند، آغاز کرد. ترزور پیش از این چهار دستگاه خود را که از CryptoBilis خریداری شده بود (یک Safe 7، دو Safe 5 و یک Safe 3) بررسی کرده و هیچ مدرکی دال بر دستکاری در آن‌ها نیافته بود.
تیم امنیتی Donjon متعلق به Ledger، در دستگاه‌های لجر که از طریق CryptoBilis فروخته شده بودند، قطعه‌ای را کشف کرده بود که عبارت بازیابی ۲۴ کلمه‌ای را در حین راه‌اندازی از صفحه نمایش خوانده و از طریق LTE ارسال می‌کرد. در پست وبلاگ ترزور آمده است که قطعه کشف شده اخیر «به نظر می‌رسد به طور مشابهی عمل می‌کند»، هرچند این شرکت تاکید کرده است که تا زمانی که تحقیقات ادامه دارد، مقایسه‌ای انجام نخواهد داد و از هویت عاملان احتمالی اطلاعی ندارد.
ترزور پیش از این نیز به دلیل مشکلات مربوط به شرکا، مجبور به هشدار به مشتریان خود شده بود. در ماه آگوست، این شرکت اعلام کرد که نقض امنیتی در شرکت ارائه‌دهنده خدمات حمل و نقل ShipMonk، اطلاعات شخصی نزدیک به ۱۴ هزار مشتری آمریکایی شامل نام، شماره تلفن و آدرس خانگی را افشا کرده است. این رقم در ماه سپتامبر با ۶۷ هزار مورد دیگر افزایش یافت.
