W Trezorze Safe 5 od oficjalnego resellera znaleziono płytkę, która podgląda seed phrase na ekranie

28 października zespół bezpieczeństwa Trezora otrzymał zgłoszenie w ramach programu odpowiedzialnego ujawniania podatności. Kupujący z Indonezji znalazł w swoim Trezorze Safe 5 obcą płytkę: znajduje się między płytą główną a ekranem i ma modem komórkowy oraz antenę. Według kupującego płytka odczytuje wszystko, co wyświetla ekran, w tym kopię zapasową portfela — seed phrase — i przy każdym podłączeniu urządzenia wysyła to przez sieć komórkową. Portfel kupiono w sierpniu od CryptoBilis — do października oficjalnego resellera Trezora w Azji Południowo-Wschodniej — przez jego sklep na platformie Tokopedia.

Teraz o tym, co potwierdzono. Trezor pisze, że samego urządzenia jeszcze nie otrzymał i nie badał go w laboratorium. Firma ma opis, zdjęcia i wywiad wideo z kupującym, a zgłoszenie uznała za na tyle wiarygodne, by ostrzec klientów, nie czekając na ekspertyzę. Jak dotąd nie zgłoszono jej żadnych kradzieży wśród klientów CryptoBilis. Sam znalazca wypłacił pieniądze z urządzenia, zanim odkrył płytkę. Podsumowując: jedna płytka w jednym portfelu, a jak dokładnie działa, wiadomo na razie tylko ze słów właściciela.

Co zrobić, jeśli kupili Państwo Trezora od CryptoBilis

Jeśli od marca 2026 roku kupili Państwo Trezora od CryptoBilis — bezpośrednio, na Tokopedii albo w sklepie zaopatrywanym przez CryptoBilis — firma radzi jak najszybciej przenieść środki do nowego portfela z nową seed phrase. Odtwarzanie starej frazy na innym urządzeniu nie ma sensu: jeśli została już podejrzana, kopia złodzieja nigdzie nie zniknie. Urządzenia, z którego jeszcze Państwo nie korzystali, lepiej w ogóle nie konfigurować, a już na pewno nie wpisywać do niego istniejącej frazy. Trezor obiecuje bezpłatną wymianę lub voucher i prosi o zachowanie portfela kupionego od CryptoBilis, podaje Help Net Security. Firma odradza ważenie i otwieranie urządzenia: nie ma niezawodnego sposobu, by samodzielnie je sprawdzić. I proszę przygotować się na e-maile, telefony, a nawet papierowe listy „od supportu” — prawdziwy support Trezora nigdy nie prosi o seed phrase.

Dlaczego ten numer w ogóle działa

Nie trzeba tu było łamać chronionego chipu ani firmware’u. Implantowi wystarczy, że portfel sam generuje seed phrase i sam pokazuje ją na swoim ekranie. Reszta jest prosta: kupić lub przechwycić partię urządzeń, otworzyć obudowę, wlutować między płytkę a wyświetlacz moduł, który odczytuje obraz i potrafi wejść do sieci komórkowej, starannie złożyć, zapieczętować i sprzedać kanałem tak oficjalnym, jak to tylko możliwe. Potem czekać, aż kupujący przepisze słowa z ekranu na kartę z pudełka i zasili portfel pieniędzmi. Podpisywanie transakcji, chip, aplikacja — wszystko działa, jak należy. Ekran po prostu zyskał drugiego widza. Dlatego pierwsze pytanie przed zakupem dowolnego portfela brzmi: czy w ogóle jest w nim miejsce na takiego widza? W nośniku bez ekranu, baterii, firmware’u i USB nie ma gdzie upchnąć dodatkowej płytki ani czym jej zasilić.

Przy pierwszym podłączeniu Trezor sprawdza autentyczność urządzenia za pomocą chronionego chipu i obiecuje potwierdzić, że jest ono „oryginalne i niezmodyfikowane”. Jak indonezyjska płytka zachowała się podczas tej kontroli, firma na razie nie poinformowała. Ale „chip jest oryginalny” i „nic obok nie wlutowano” to dwa różne stwierdzenia, a odpowiedzi na drugie pytanie nikt kupującemu nie daje.

Wady, przez które taki atak w ogóle jest możliwy

• Seed phrase generuje samo urządzenie i pokazuje ją na własnym ekranie. Kto widzi ekran, widzi pieniądze.
• Nie da się zajrzeć do środka. Trezor sam przyznaje, że nie ma niezawodnego sposobu, by samodzielnie sprawdzić urządzenie, i odradza jego otwieranie.
• W obudowie jest miejsce na dodatkową płytkę, a USB zasila ją przy każdym podłączeniu.
• Sercem ochrony jest zamknięty secure element. Firmware Trezora jest otwarty, ale co dokładnie siedzi w Państwa egzemplarzu i co do niego przylutowano, kupujący i tak nie sprawdzi.
• Kupujący musi ufać wszystkim, którzy trzymali pudełko w rękach: fabryce, magazynowi, dystrybutorowi, resellerowi, platformie i kurierowi. Status oficjalnego sprzedawcy, jak się okazało, niczego nie gwarantuje.
• Nie ma czym sprawdzić sprzętu: waga, według samego Trezora, niczego nie dowodzi. Zostaje wiara.

Stąd jeszcze kilka pytań, które warto zadać przed zakupem dowolnego portfela. Czy nośnik przychodzi pusty, tak by klucz utworzyć i zaszyfrować samodzielnie, na własnym telefonie — i wtedy nie ma już znaczenia, kto trzymał pudełko przed Państwem? Czy to, co jest na nim zapisane, da się odczytać dowolną aplikacją NFC i rozłożyć zaszyfrowane kopie na kilka tanich tagów, żeby nie modlić się do jednego kawałka sprzętu?

Hologram jako amulet

Szczególny podziw budzi holograficzna naklejka. W Safe 5 zakrywa port USB, pudełko jest zafoliowane, a instrukcja prosi, by upewnić się, że plomba jest nienaruszona, bez rozdarć i śladów kleju. Hologramy drukuje się dziś na zamówienie, partiami, a ponowne zafoliowanie pudełka to też żaden wyczyn. A co najważniejsze, implant w ogóle nie musi ruszać portu: żyje w środku, między płytką a ekranem. Naklejka uczciwie mówi dokładnie jedno: nikt jej nie odkleił. Co jest pod pokrywą, tego nie wie i wiedzieć nie może. To nie ochrona, to środek uspokajający z połyskiem.

Zaufanie w obie strony

W efekcie kupujący wychodzi z dwóch wzajemnie wykluczających się założeń. Producent jest o tyle mądrzejszy od niego, że można mu powierzyć nawet tworzenie kluczy. A wszyscy, którzy po drodze dotykali pudełka, są uczciwsi — albo głupsi — niż wymagałaby podmiana. Trezor obiecuje teraz zaostrzyć weryfikację resellerów i ograniczyć ich liczbę. To słuszny krok, ale tylko zawęża krąg tych, którym trzeba ufać, zamiast usunąć samą konieczność zaufania.

Tyle że ściganie CryptoBilis przypomina walkę z hydrą: zamknie się jeden sklep, a na jego miejscu wyrastają trzy nowe. Problemem nie jest zły sprzedawca, tylko schemat, który potrzebuje uczciwego sprzedawcy. Gdzieś w Państwa mieście, na lokalnej platformie albo u „sprawdzonego” pośrednika, portfele z implantami mogą być sprzedawane od dawna i nikt o tym nie wie. To w końcu nie wielki niemiecki market z elektroniką, do którego zaglądają badacze bezpieczeństwa. Indonezyjską płytkę znaleziono tylko dlatego, że jeden kupujący okazał się uważny i sam napisał do Trezora. Ilu takich kupujących się nie znalazło, nie wie nikt.

Niedawno omawialiśmy Tangem i Mitilenę — z ich zaletami i wadami. Jeśli nie chcą Państwo zależeć od tego, kto trzymał pudełko przed Państwem, proszę wybierać portfele, w których klucz tworzy się samodzielnie, a nośnik przychodzi pusty: podmieniona po drodze karta jest wtedy bezwartościowa — po prostu zapisują Państwo na niej własny zaszyfrowany klucz. Na przykład Mitilena.