Шпионские чипы добрались до Trezor: хакер нашёл кошельки с заранее известными сид-фразами

Проблема подмены начинки аппаратных криптокошельков, о которой громко заговорили после инцидентов с Ledger, оказалась актуальна и для устройств Trezor. Специалист по аппаратному взлому Джо Гранд изучил два модифицированных кошелька — устаревшие, но всё ещё поддерживаемые модели Trezor Model T и Trezor One. Оба устройства были куплены на вторичном рынке и содержали чужеродный микроконтроллер с вредоносной прошивкой.

Первый кошелёк, Model T, приобрели через Facebook Marketplace в Канаде в 2025 году. Второй, Trezor One, был куплен в магазине TikTok в августе 2026-го, и его владелец забил тревогу после исчезновения примерно 50 долларов в криптовалюте. Несмотря на то что производитель снял эти модели с продажи, они продолжают получать обновления безопасности, что делает их привлекательной целью для злоумышленников на вторичном рынке.

Схема атаки отличалась от той, что применялась против кошельков Ledger. В случае с Trezor преступники не перехватывали случайно сгенерированную фразу восстановления. Вместо этого они полностью заменили штатный чип на свой, запрограммированный на выдачу одной из примерно двенадцати заранее записанных комбинаций.

Зная эти секретные слова, злоумышленники могли получить доступ к средствам без какого-либо физического контакта с устройством. Для обхода проверки подлинности в приложении Trezor Suite вредоносный чип сначала предъявлял копию настоящей прошивки. После успешной верификации управление незаметно перехватывал изменённый код.

Открытость исходных текстов Trezor, обычно служащая гарантией безопасности, в этом случае сыграла на руку злоумышленникам, позволив им подготовить собственную версию программного обеспечения. Джо Гранд передал результаты своего исследования компании ещё 10 августа. Из последующей переписки следует, что уже 13 августа Trezor признала сходство найденного устройства с модифицированными кошельками, которые всплывали на российских маркетплейсах в 2022–2023 годах.

Компания запросила извлечённую прошивку и предложила проверить поведение актуальной версии Trezor Suite. Однако публичная позиция производителя долгое время оставалась неизменной. Лишь 13 октября Trezor объявила о сокращении числа официальных продавцов для усиления контроля за цепочкой поставок.

Коммерческий директор Дэнни Сандерс назвал этот шаг профилактическим и утверждал, что свидетельств компрометации устройств нет. Это заявление было сделано спустя два месяца после получения прямых доказательств от исследователя. Подтверждений того, что заражённые устройства продавались через официальных партнёров Trezor, на данный момент нет.

Оба обнаруженных кошелька поступили от неофициальных продавцов. Производитель рекомендует пользователям проверять подлинность как самого устройства, так и его прошивки через фирменное приложение Trezor Suite, а также тестировать случайность создаваемой сид-фразы. При малейшем подозрении на подмену владельцу советуют немедленно перевести все средства на новый кошелёк, для которого секретная фраза восстановления была создана независимо и гарантированно случайным образом.

Ситуация подчёркивает растущие риски покупки аппаратных кошельков на вторичном рынке, где контроль за подлинностью устройств практически отсутствует.