Шпионские чипы нашли не только в криптокошельках Ledger, но и в устройствах конкурирующей Trezor. Специалист Джо Гранд обнаружил два модифицированных кошелька, которые выдавали владельцам заранее подготовленные секретные фразы. Производитель знал о находках ещё с августа, но публично отрицал подобные случаи.
13 октября Trezor объявила о сокращении числа официальных продавцов ради усиленного контроля за поставками. Коммерческий директор Дэнни Сандерс назвал решение профилактическим и утверждал, что свидетельств компрометации устройств нет. Однако аппаратный хакер Джо Гранд ещё 10 августа передал компании результаты исследования одного из подменённых кошельков.
Исследователь изучил две устаревшие модели, Trezor Model T и Trezor One. Первую купили через Facebook* Marketplace в Канаде в 2025 году, вторую приобрели в магазине TikTok в августе 2026-го. Покупатель Trezor One заподозрил неладное после пропажи примерно $50. Оба устройства сняты с продажи самим производителем, но продолжают получать обновления безопасности.
В обоих случаях преступники заменили штатный микроконтроллер на собственный чип с изменённой прошивкой. Вместо случайной сид-фразы устройство выдавало одну из примерно двенадцати заранее записанных комбинаций. Злоумышленники уже знали секретные слова и могли восстановить доступ к криптовалюте без физического контакта с кошельком.
Подмена затрагивала и механизм проверки подлинности прошивки. Вредоносное устройство сначала предоставляло программе Trezor Suite копию настоящего программного обеспечения, позволяя пройти проверку. Затем управление переходило к изменённому коду. Открытость исходников Trezor помогла преступникам подготовить собственную версию прошивки для заменённого микроконтроллера.
Ситуация отличается от атаки на Ledger. Там посторонние компоненты перехватывали настоящую фразу восстановления при первоначальной настройке и передавали сведения через сотовую сеть. В случае Trezor преступники не похищали случайно созданный секрет, а заранее определяли, какую комбинацию получит покупатель. Оба обнаруженных кошелька поступили от неофициальных продавцов.
Как следует из переписки исследователя с производителем, 13 августа Trezor признала сходство найденного устройства с модифицированными кошельками на российских маркетплейсах в 2022–2023 годах. Компания заинтересовалась извлечённой прошивкой и попросила проверить поведение актуальной версии Trezor Suite. В начале сентября представители Trezor также обсуждали возможную публикацию результатов.
При этом подтверждений массовых продаж заражённых Trezor через официальных партнёров нет. Производитель предлагает проверять подлинность устройств и прошивки через Trezor Suite. Дополнительная проверка случайности при создании кошелька помогает выявлять предсказуемые секретные фразы. При подозрении на подмену владельцу следует перевести средства на новый кошелёк с независимо созданной фразой восстановления.
* Компания Meta и её продукты (включая Instagram, Facebook, Threads) признаны экстремистскими, их деятельность запрещена на территории РФ.
