Trezor confirma backdoor

A fabricante de carteiras físicas de criptomoedas Trezor confirmou a identificação de componentes eletrônicos maliciosos instalados em três dispositivos Trezor Safe 5 comercializados pela revendedora CryptoBilis. Os implantes permitem capturar frases de recuperação das carteiras e transmiti-las aos invasores por meio de redes móveis, colocando os ativos digitais dos usuários em risco.

Segundo a empresa, os dispositivos foram adquiridos entre 20 de agosto e 23 de setembro de 2026. Um deles foi analisado diretamente em laboratório, enquanto os outros dois foram identificados por fotografias enviadas pelos proprietários. Até o momento, não há relatos de perdas financeiras relacionadas aos três equipamentos.

A Trezor informou que os implantes são placas de circuito adicionais, inseridas fisicamente nos dispositivos, capazes de monitorar informações exibidas na tela sem modificar o firmware original ou o Secure Element, componente responsável pela proteção de informações criptográficas.

Implante captura frases de recuperação e envia dados aos hackers

A investigação identificou que o componente malicioso fica posicionado entre a placa principal da Trezor Safe 5 e sua tela.

Quando o dispositivo apresenta a frase de recuperação durante a configuração inicial ou quando o usuário insere uma frase existente para restaurar uma carteira, o implante consegue capturar essas informações.

O mecanismo também pode registrar uma passphrase adicional caso ela apareça na tela.

Depois da captura, os dados são criptografados e transmitidos pela rede móvel para um servidor controlado pelos invasores. Caso a conexão não esteja disponível, o componente armazena as informações e realiza novas tentativas de envio até conseguir estabelecer comunicação.

Esse mecanismo permite comprometer informações essenciais para recuperar uma carteira de criptomoedas sem necessariamente alterar o funcionamento aparente do equipamento.

A posse da frase de recuperação pode permitir que terceiros restaurem a carteira em outro dispositivo e movimentem os ativos associados, dependendo das proteções adicionais configuradas.

Atualização de firmware impede captura pelos implantes identificados

A Trezor disponibilizou a atualização de firmware 2.13.1, que, segundo a fabricante, impede que os implantes identificados até agora capturem informações em dispositivos atualizados.

A versão foi lançada para os modelos Safe 7, Safe 5, Safe 3 e Model T.

Entretanto, a empresa esclareceu que a atualização não protege frases de recuperação que tenham sido capturadas anteriormente.

Por esse motivo, usuários que adquiriram dispositivos da CryptoBilis desde março de 2026 devem transferir seus fundos para uma nova carteira, criada com uma frase de recuperação inédita.

A fabricante ressalta que simplesmente restaurar a frase antiga em outro equipamento não elimina o risco, pois os invasores podem já possuir uma cópia dessas informações.

A Trezor também orienta que dispositivos ainda não utilizados, adquiridos da revendedora, não sejam configurados e que nenhuma frase de recuperação existente seja inserida nesses equipamentos.

Os usuários devem preservar os dispositivos e entrar em contato com o suporte oficial da empresa, que oferece uma nova carteira Trezor aos compradores afetados pela recomendação.

A fabricante alerta ainda que abrir ou pesar o equipamento não constitui um método confiável para identificar implantes. Também recomenda atenção a golpistas que possam se passar pelo suporte para solicitar frases de recuperação ou oferecer substituições e reembolsos fraudulentos.

Caso apresenta semelhanças com ataques contra carteiras Ledger

O primeiro alerta da Trezor sobre um possível implante foi divulgado em 30 de outubro, dois dias depois de um comprador relatar a suspeita.

A CryptoBilis atuava como revendedora oficial da fabricante no Sudeste Asiático até 9 de outubro, quando foi removida da rede autorizada.

Na mesma data, a Ledger, outra fabricante de carteiras físicas de criptomoedas, iniciou uma investigação sobre perdas financeiras relatadas por clientes da revendedora.

Posteriormente, a Ledger confirmou a presença de componentes maliciosos instalados em dispositivos legítimos comercializados pela CryptoBilis.

Segundo a empresa, os invasores modificaram fisicamente as carteiras para capturar frases de recuperação durante a configuração inicial e, posteriormente, esvaziaram os fundos das vítimas em uma operação coordenada.

A Trezor informou que os implantes encontrados nos dispositivos Safe 5 apresentam funcionamento semelhante ao identificado nas carteiras Ledger, com adaptações para a arquitetura da tela de seu equipamento.

Entretanto, ainda não foi possível determinar quem instalou os componentes ou em qual etapa da cadeia de distribuição ocorreu a adulteração.

Investigação envolve dezenas de compradores

Após os primeiros relatos, a Trezor solicitou que clientes que adquiriram carteiras da CryptoBilis entrassem em contato com a empresa.

Até agora, 48 compradores responderam ao chamado. A fabricante está examinando os equipamentos em laboratório ou analisando fotografias de seus componentes internos.

A empresa não informou quantos dispositivos já foram efetivamente inspecionados.

Até o momento, os implantes foram confirmados exclusivamente em três unidades do modelo Safe 5 comercializadas pela CryptoBilis. Não foram identificados casos semelhantes em outros modelos ou em equipamentos vendidos por diferentes revendedores.

A Trezor também informou que nenhum dos três proprietários confirmou perdas financeiras. Como suas carteiras utilizam um modelo de autocustódia, a fabricante não possui acesso aos saldos dos usuários para realizar essa verificação diretamente.

Trezor reduz rede de revendedores em aproximadamente 80%

Em paralelo à investigação, a fabricante anunciou uma redução de aproximadamente 80% em sua rede de revendedores.

A decisão foi comunicada inicialmente em 13 de outubro, mais de duas semanas antes da primeira denúncia envolvendo um implante em uma carteira Trezor.

Segundo a empresa, a revisão incluiu a exclusão de parceiros considerados confiáveis, mas que não atendiam aos novos critérios de distribuição.

Em uma comunicação enviada aos revendedores, a Trezor informou que os parceiros removidos deixariam de receber novos estoques, mas poderiam comercializar os produtos existentes até 1º de janeiro de 2027, quando seriam retirados da lista de vendedores autorizados.

A investigação permanece em andamento. A fabricante afirmou que divulgará novas informações caso identifique implantes em outros modelos ou canais de distribuição, receba confirmações de perdas financeiras relacionadas aos componentes ou desenvolva novas medidas de proteção.