Trezor מאשרת: שתלים נסתרים בארנקי Safe 5 שנמכרו על ידי CryptoBilis

Trezor מסרה כי שלושה ארנקי Safe 5 שנקנו מהמפיץ CryptoBilis מכילים לוח מעגלים נוסף, או שתל, שיכול להעתיק את ביטויי השחזור שלהם. השתל קורא את הביטוי מהמסך ושולח אותו דרך הרשת הסלולרית לשרת שבשליטת התוקפים. Trezor בחנה ארנק אחד במעבדה שלה, זיהתה את השניים האחרים לפי תמונות ששלחו בעליהם, ולא התקבלו אצלה דיווחים על אובדן כספים.

לדברי החברה, עדכון קושחה בגרסה 2.13.1 מונע מהשתלים שנמצאו עד כה ללכוד דבר בארנקים שמריצים אותו, אך העדכון אינו יכול להגן על גיבוי ארנק שנלכד לפניו. Trezor עדיין ממליצה לכל מי שקנה Trezor מ־CryptoBilis מאז מרץ להעביר את הכספים לארנק חדש עם ביטוי שחזור חדש, וליצור קשר עם התמיכה של Trezor, המציעה ארנק חדש לקונים אלה. החברה מסרה כי לא תפרסם פרטים טכניים שעלולים לסייע לתוקפים.

CryptoBilis הייתה מפיצה רשמית של Trezor בדרום־מזרח אסיה עד ה־9 באוקטובר, אז הסירה אותה Trezor. Ledger החלה באותו יום לחקור אובדן כספים בקרב לקוחות המפיץ, ואישרה בהמשך שתל בלתי מורשה בארנק שהמפיץ מכר. Trezor אומרת כי השתלים שלה פועלים באותה דרך, והיא לא מסרה מי התקין אותם או היכן בשרשרת האספקה הדבר קרה. Trezor גם צמצמה את רשת המפיצים שלה בכ־80%.

למה זה חשוב למנהלי אבטחה ולחוקרים, המקרה מראה שארנקי חומרה עשויים להיפגע לפני המסירה, ולכן שלמות המכשיר תלויה בשרשרת האספקה שלו ולא רק בקושחה. עדכון קושחה אינו מבטל ביטוי שחזור שכבר נלכד, ולכן ארגונים ויחידים המחזיקים כספים במכשירים שנפגעו צריכים להתייחס לביטוי כחשוף ולהעביר נכסים לארנק חדש עם ביטוי חדש. הדברים שמסרה Trezor משאירים פתוחה גם השאלה מי התקין את השתלים והיכן, ועל החוקרים לשקול זאת בעת הערכת מכשירים אחרים שנמכרו מחדש.