Trezor heeft bevestigd dat er verborgen implants zijn aangetroffen in een aantal Safe 5-hardwarewallets die via reseller CryptoBilis zijn verkocht. Het gaat om extra elektronica die tijdens het aanmaken of terugzetten van een wallet herstelzinnen kan kopiëren en die gegevens vervolgens via het mobiele netwerk doorstuurt.
Volgens Trezor zijn de onderzochte gevallen (drie wallets) tot nu toe niet gekoppeld aan verloren fondsen, maar de kans op misbruik hangt sterk af van wanneer de implant is “gevangen” op een bestaande recovery phrase-backup. Daarom adviseert het bedrijf om direct maatregelen te nemen als je een wallet bij deze reseller hebt gekocht.
Wat zijn de verborgen implants volgens Trezor?
Trezor beschrijft de implant als een extra circuit board dat tussen de hoofdprint van de Safe 5 en het scherm zit. De aanwezigheid verandert volgens het bedrijf niets aan de firmware of het Secure Element van de wallet zelf.
De werking is gericht op het moment waarop gebruikers hun recovery phrase op het display zien. De implant leest die tekst van het scherm en verstuurt de gegevens naar een server die door aanvallers wordt beheerd. De verzending gebeurt via een mobiele netwerkverbinding.
Wanneer worden recovery zinnen gekopieerd?
De implant kan de herstelzin kopiëren in twee scenario’s:
- tijdens het maken van een backup bij het aanmaken van een wallet;
- wanneer iemand een bestaande wallet herstelt en de recovery phrase op het scherm van de device wordt weergegeven.
Daarnaast meldt Trezor dat ook een passphrase die zichtbaar wordt, kan worden gekopieerd. Als de implant geen verbinding kan maken, bewaart hij de data en probeert hij opnieuw totdat de overdracht lukt.
Welke schade meldt Trezor tot nu toe?
Trezor geeft aan dat er tot nu toe geen rapporten zijn van verloren gelden die te herleiden zijn aan de drie onderzochte wallets. Wel benadrukt het bedrijf dat hardwarewallets self-custody zijn: Trezor kan dus niet van buitenaf zien hoeveel saldo een gebruiker heeft of wat er precies gebeurt na een hersteloperatie.
De implant is volgens Trezor als verdacht beschouwd na meldingen in oktober. Het bedrijf zegt dat een eerste waarschuwing al op 30 oktober is gedeeld, kort nadat een koper een probleem had gemeld, en voordat het in het lab volledig had vastgesteld wat er in de wallet zat.
Firmware-update 2.13.1: wat stopt het wel en niet?
Om het risico te beperken heeft Trezor eerder deze week firmware 2.13.1 uitgebracht. Deze update moet ervoor zorgen dat de implant geen recovery-gegevens meer kan vastleggen bij wallets die de nieuwe versie draaien.
Maar Trezor waarschuwt ook voor een belangrijke beperking: de update kan geen “oude” situatie ongedaan maken. Als je recovery phrase al is uitgelezen voordat je de update installeerde en die gegevens zijn misbruikt, dan blijft dat verleden een risico vormen.
De firmware 2.13.1 is volgens het changelog-bericht beschikbaar voor de Safe 7, Safe 5, Safe 3 en Model T. Trezor zegt daarnaast dat het bewust geen technische details publiceert die aanvallers verder zouden kunnen helpen.
Advies van Trezor voor kopers van CryptoBilis
Trezor heeft zijn handelingsadvies niet alleen afgestemd op de drie onderzochte wallets, maar richt zich ook tot iedereen die sinds maart een Trezor via CryptoBilis heeft gekocht. Daarbij noemt het bedrijf onder meer verkoopkanalen via Tokopedia en Shopee.
De kernboodschap is dat het overschakelen naar een nieuwe wallet met een nieuwe recovery phrase nodig kan zijn, en dat het oude herstelgeheim niet opnieuw als “oplossing” moet worden gebruikt.
Wat moet je concreet doen?
- Verplaats je funds naar een nieuwe wallet met een nieuwe recovery phrase. Het herstellen van de oude recovery phrase op een andere wallet lost het probleem volgens Trezor niet op.
- Gebruik geen ongebruikte wallet die je via de reseller hebt gekregen.
- Typ een bestaande recovery phrase nooit opnieuw in een wallet van deze herkomst.
- Neem contact op met Trezor Support voor een nieuwe walletoplossing. Ook wanneer je niet zeker weet waar je device vandaan komt.
- Deel je recovery phrase nooit. Trezor zegt dat het bedrijf nooit om je recovery phrase zal vragen. Oplichters kunnen zich voordoen als Trezor om “vervangingen” of “refunds” aan te bieden.
Daarnaast raadt Trezor af om de device open te maken of te proberen te testen door het gewicht te vergelijken. Zulke controles zijn niet betrouwbaar, aldus het bedrijf.
Waarom dit aansluit bij supply chain risico’s
Wat hier speelt, past in het bredere patroon van software- en hardware supply chain security: aanvallers beïnvloeden het vertrouwen in het product vóórdat het bij de eindgebruiker terechtkomt. In dit geval gaat het om een verborgen component die niet “zichtbaar” is voor een gebruiker, maar wel een extreem waardevol moment misbruikt: het zichtbaar maken en invoeren van de herstelzin.
Als je wilt begrijpen hoe supply chain-aanvallen in de praktijk kunnen uitmonden in diefstal, kan je ook lezen hoe incidenten zich eerder hebben gemanifesteerd in de online keten. Bijvoorbeeld in onze cybersecurity roundup met incidenten, hacks en fixes.
Link met eerdere signalen in de markt
Trezor meldt dat CryptoBilis tot 9 oktober officieel reseller was in Zuidoost-Azië. Op die datum is CryptoBilis van het officiële resellernetwerk gehaald. Rond diezelfde periode bleek, volgens het bericht, dat ook Ledger zijn eigen onderzoek startte naar verliezen bij klanten van die reseller.
Ledger zou vervolgens bevestigen dat er in een wallet die via CryptoBilis was verkocht een ongeautoriseerde implant zat. Daar ging het volgens Ledger om echt ogende devices met verborgen onderdelen die recovery-gegevens konden vastleggen tijdens de setup, waarna aanvallers in één gecoördineerde actie wallets leegden.
Trezor zegt dat de aanvalstechniek in grote lijnen vergelijkbaar is met wat bij Ledger is gevonden, met aanpassingen voor het scherm en de werking van de Safe 5.
Wat betekent dit voor jou op korte termijn?
Zelfs als je nog geen verdachte signalen hebt gezien, is de praktische vraag: heb je een Trezor gebruikt die mogelijk al “gevangen” is vóór firmware 2.13.1?
Werk daarom langs de volgorde die Trezor zelf adviseert:
- check of je een device via CryptoBilis hebt gekocht;
- installeer de relevante firmware-update;
- verplaats je saldo naar een nieuwe wallet met een nieuwe recovery phrase;
- herstel niet met oude herstelzinnen op een nieuw apparaat.
Als je ook te maken hebt met (mogelijk) misbruik van herstel- of authenticatiegegevens in een breder kader, dan is het nuttig om te kijken naar onze uitleg over deepfake video-oplichting met misbruik van vertrouwensmomenten. Hoewel dat een andere aanvalsklasse is, draait het eveneens om het onderscheppen of manipuleren van vertrouwen en account-toegang.
De volgende updates van Trezor
Trezor zegt dat het onderzoek nog loopt. Het bedrijf onderzoekt wallets uit meldingen van kopers en/of materiaal dat via foto’s is gedeeld. Ook beoordeelt het of implantatie ook buiten de CryptoBilis-widgets of buiten de Safe 5-lijn voorkomt.
Het bedrijf kondigt aan dat het updates zal publiceren als het bevestigt dat er ook andere modellen of herkomsten geraakt zijn, of wanneer er meldingen binnenkomen van verloren fondsen die aan de implantatie gekoppeld kunnen worden.
Conclusie
De bevestiging door Trezor van verborgen implants in Safe 5-wallets van reseller CryptoBilis is ernstig: een extra component kan recovery-gegevens kopiëren precies op de momenten waarop een gebruiker de beveiliging creëert of terugzet. Firmware 2.13.1 kan het risico bij nieuwe sessies beperken, maar het heft eerdere uitlezing niet automatisch op.
Heb je een Trezor gekocht via deze reseller, volg dan de instructies van Trezor: verplaats je geld naar een nieuwe wallet met een nieuwe recovery phrase, herstel niet met oude zinnen en neem contact op met Support. Daarmee verklein je de kans dat gestolen herstelgegevens nog gebruikt kunnen worden.
Bron: https://thehackernews.com/2026/11/trezor-confirms-hidden-hardware.html
