Trezor ha chiesto a chiunque abbia comprato un suo wallet dal rivenditore CryptoBilis da marzo 2026 di spostare i fondi su un nuovo wallet con un nuovo seed, in un avviso pubblicato venerdì 30 ottobre. L’allarme poggia su una sola segnalazione: un cliente in Indonesia dice di aver trovato un impianto hardware dentro un Trezor Safe 5, e Trezor non ha ancora visto blockchain that runs exactly as written when it is called, holding and moving funds according to its code, without an intermediary able to change the outcome.">smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">il dispositivo. Nessun acquirente di CryptoBilis ha comunicato alla società una perdita, e l’ispezione di altri quattro esemplari venduti da CryptoBilis non ha rilevato manomissioni.
Trezor ha scelto di non aspettare il laboratorio. «What we’ve seen looks sophisticated enough that we decided to warn customers now», cioè quello che ha visto «è abbastanza sofisticato da spingerci ad avvisare subito i clienti», ha scritto, aggiungendo che attendere la conferma del laboratorio lascerebbe nel frattempo esposti gli acquirenti di CryptoBilis.
CryptoBilis è il rivenditore del Sud-Est asiatico al centro del caso dei Ledger manomessi, in cui Ledger ha confermato un impianto il 10 ottobre. Quando abbiamo aggiornato per l’ultima volta quella storia, non era stato segnalato alcun Trezor manomesso. CryptoBilis non ha commentato, almeno nelle fonti che abbiamo consultato.
Trezor Safe 5: cosa dice di aver trovato il cliente
La segnalazione è arrivata al team di sicurezza di Trezor mercoledì 28 ottobre, attraverso il suo programma di divulgazione responsabile. Il dispositivo è un Safe 5 acquistato da CryptoBilis nell’agosto 2026 su Tokopedia, il marketplace indonesiano. Il cliente non è stato identificato.
Secondo la segnalazione, tra la scheda principale e lo schermo c’è una scheda elettronica aggiuntiva, con un modulo cellulare e un’antenna. Legge ciò che appare sullo schermo, backup del wallet compreso, e lo invia attraverso una rete mobile ogni volta che il dispositivo è collegato. Trezor precisa di non aver verificato tutto questo.
I team di sicurezza, hardware e rivenditori di Trezor hanno esaminato lo stesso giorno la segnalazione, le foto e la ricevuta, poi hanno intervistato il cliente in videochiamata. L’azienda definisce la segnalazione credibile e sta organizzando l’invio del dispositivo al proprio laboratorio. Il cliente, racconta, aveva notato una differenza di peso e aveva già spostato i fondi dal wallet prima di scoprire la scheda.
Segnalato in Trezor, confermato in Ledger: a che punto sono i due casi
Trezor scrive che l’impianto «sembra funzionare in modo simile» a quelli visti nei dispositivi Ledger. Aggiunge però che, finché le indagini sono in corso, non farà confronti, perché ogni produttore costruisce l’hardware a modo suo. I due casi si trovano in fasi molto diverse.
| Ledger | Trezor | |
|---|---|---|
| Stato | Impianto confermato da Ledger il 10 ottobre | Segnalazione di un solo cliente, non confermata |
| Dispositivo esaminato dal produttore | Sì, il team Donjon di Ledger ha pubblicato i risultati il 13 ottobre | No, l’esame in laboratorio è in attesa |
| Meccanismo segnalato | Legge le 24 parole durante la configurazione e le invia via LTE tramite una eSIM | Legge lo schermo e invia su rete mobile quando è collegato (non verificato) |
| Perdite | Fondi svuotati il 9 ottobre, stime da 86 a circa 103 milioni di dollari, nessun totale da Ledger | Nessuna segnalata a Trezor |
| Risposta del produttore | Vendite sospese nel Sud-Est asiatico e a Hong Kong, regole più strette per i rivenditori il 15 ottobre | Nuovo seed per gli acquirenti di CryptoBilis, dispositivo sostitutivo o voucher |
Chi copre l’avviso di Trezor e chi no
L’avviso vale per ogni modello Trezor acquistato da CryptoBilis da marzo 2026 in poi, anche se la segnalazione riguarda un solo Safe 5. Comprende qualsiasi negozio rifornito da CryptoBilis, oltre al negozio Tokopedia del rivenditore. Trezor non spiega perché abbia scelto marzo. OneKey, un altro produttore che ha lasciato CryptoBilis, ha scelto lo stesso mese: nel suo comunicato, aggiornato il 12 ottobre, offre sostituzioni per i dispositivi comprati dal rivenditore dal 1° marzo.
Trezor afferma di non avere segnalazioni che riguardino altri rivenditori. Un dispositivo comprato nello shop ufficiale o presso un altro rivenditore autorizzato resta fuori da questo avviso. Chi non è sicuro di dove arrivi il proprio può controllare il nome del venditore sulla ricevuta o chiedere al supporto di Trezor.
Cosa dice Trezor di fare agli acquirenti di CryptoBilis
- Se il wallet contiene fondi, creare un nuovo wallet con un nuovo seed e inviare lì i fondi. Le parole di Trezor: «move your funds to a newly created wallet with a new seed as soon as possible», ossia spostare i fondi al più presto su un wallet appena creato, con un nuovo seed.
- Non ripristinare il vecchio backup su un altro dispositivo. Se il seed è stato copiato, il problema lo segue.
- Chi non ha un altro hardware wallet sicuro può, secondo Trezor, spostare per ora i fondi su un wallet software o su un exchange che conosce già.
- Controllare l’indirizzo di ricezione per intero prima di inviare qualsiasi cosa.
- Se il dispositivo non è ancora stato usato, non configurarlo e non inserirvi mai un backup esistente.
- Conservare il dispositivo di CryptoBilis e contattare il supporto di Trezor. Gli acquirenti da marzo 2026 in poi hanno diritto a un nuovo dispositivo spedito da Trezor o a un voucher che ne copre il costo.
Trezor si aspetta inoltre che i truffatori sfruttino la notizia con email false, lettere cartacee e telefonate. Il suo supporto non chiede mai una frase di recupero. Gli acquirenti hanno buoni motivi per prendere sul serio le lettere. Ad agosto, ha riferito The Block, Trezor ha dichiarato che una violazione presso il fornitore di spedizioni ShipMonk aveva esposto i dati di circa 13.700 clienti in sette paesi, tra cui Stati Uniti, Regno Unito e Italia, con gli indirizzi di spedizione per la maggior parte. A settembre ha aggiunto circa 67.000 clienti statunitensi. L’avviso di Trezor non collega quella violazione a CryptoBilis.
Perché la soluzione è un nuovo seed e la bilancia non dimostra nulla
Un hardware wallet custodisce le chiavi dentro un chip, e il Safe 5 ha un secure element certificato EAL 6+, come spiega la nostra recensione del Trezor Safe 5. Quel chip protegge ciò che contiene. Non può impedire a una scheda separata di leggere lo schermo nel momento in cui le parole compaiono perché il proprietario le scriva. Nel caso Ledger, Donjon ha rilevato che l’impianto lasciava intatti Secure Element, sistema operativo, transazioni e firme. L’attacco aggirava il chip.
Chi possiede un seed copiato può ricostruire il wallet sul proprio hardware: per questo cambiare dispositivo e tenere lo stesso seed non risolve nulla. La nostra guida alla sicurezza della seed phrase spiega come conservarne una nuova, e i passaggi per ripartire da zero sono in come configurare un hardware wallet. Trezor ha anche una guida all’invio di fondi in Trezor Suite.
Nemmeno una verifica casalinga è possibile. Trezor sconsiglia di pesare o aprire un dispositivo: piccole differenze di peso possono avere altre cause, quindi una bilancia non può né confermare né escludere una manomissione, e secondo l’azienda non esiste un modo affidabile perché i proprietari ispezionino da soli un wallet.
Quattro esemplari di CryptoBilis sono risultati puliti, su un numero di venduti ignoto
Le date di Trezor vengono da una cronologia contenuta nel suo avviso. Il 9 ottobre, giorno in cui Ledger ha aperto la sua indagine, Trezor ha chiesto a CryptoBilis di smettere di vendere tutti i suoi dispositivi, e dice che il rivenditore si è adeguato. Lo stesso giorno ha tolto CryptoBilis dalla propria rete autorizzata e il 13 ottobre ha iniziato a restringere il numero dei rivenditori autorizzati. Il 14 ottobre ha chiesto agli acquirenti di CryptoBilis di spedire i dispositivi per un’ispezione.
Ne sono arrivati quattro dal 19 ottobre: un Safe 7 ordinato il 6 aprile, due Safe 5 ordinati il 7 giugno e un Safe 3 ordinato il 4 agosto. Trezor non ha trovato prove di manomissione in nessuno. Il Safe 5 segnalato il 28 ottobre non faceva parte di quel lotto, nota Cryptonomist, e le date tornano: i due Safe 5 ispezionati erano stati ordinati a giugno, quello segnalato è stato acquistato ad agosto. Trezor non ha detto quanti dispositivi abbia venduto CryptoBilis, quindi nessuno all’esterno dell’azienda può dire che quota rappresentino quattro esemplari.
Il caso Ledger è l’unico con perdite confermate
L’indagine di Ledger è iniziata il 9 ottobre e il 13 ottobre il suo team Donjon ha pubblicato il meccanismo. Nella risposta del 15 ottobre, Ledger ha detto che gli aggressori avevano comprato dispositivi autentici nell’arco di molti mesi, li avevano aperti e vi avevano montato componenti nascosti. Non ha pubblicato alcun totale delle perdite. Le cifre dei ricercatori raccolte nel nostro dossier su Ledger vanno da oltre 86 milioni di dollari (Specter, 9 ottobre) a 102 milioni su 324 wallet (aggiornamento di Bitquery, tramite Journal du Coin) e a oltre 103,4 milioni da 530 indirizzi (YFarmX, tramite Cointelegraph). Cryptoast aggiunge un conteggio di Arkham: 95,35 milioni di dollari su 1.486 indirizzi tra il 7 e il 9 ottobre. Nessuna è verificata.
Chainalysis ha individuato un operatore di truffe tra le vittime più grandi, con 60,3 BTC persi, circa 4,8 milioni di dollari quando la società lo ha riferito il 15 ottobre. Il 28 ottobre la polizia di Singapore ha contato almeno due casi dal 10 settembre e circa 3,5 milioni di dollari di Singapore (S$) persi su Ledger manomessi acquistati in negozi al dettaglio della città-stato, che non ha nominato.
Per ora nulla lega la segnalazione su Trezor agli stessi aggressori. Trezor dice di non sapere chi ci sia dietro, e Cryptoast osserva che nessuna prova collega i due casi. Nessuna delle fonti che abbiamo letto accusa CryptoBilis di aver partecipato, e Trezor dice che il rivenditore si è adeguato quando gli è stato chiesto di fermare le vendite. Trezor non ha detto in quale punto della catena il Safe 5 segnalato sarebbe stato aperto.
L’esame di laboratorio di Trezor arriverà dopo, senza una data
Trezor dice soltanto che esaminerà il dispositivo non appena arriverà. Una scheda confermata farebbe di Trezor il secondo marchio con un impianto riconducibile a questo rivenditore. Un esito pulito scagionerebbe un solo esemplare e lascerebbe il consiglio agli acquirenti di CryptoBilis come una precauzione già presa.
L’azienda dice che aggiornerà l’avviso se un acquirente di CryptoBilis segnalerà una perdita o se risulterà coinvolto un altro rivenditore. Collabora con Ledger e con altri soggetti, e ringrazia SEAL 911, il servizio di emergenza della Security Alliance, per l’aiuto su questa segnalazione. A parte, i rivenditori avvisati con i tagli del 13 ottobre perdono l’autorizzazione il 1° gennaio 2027, secondo Decrypt.