Version 1

Trezor bekräftar stöldimplantat i tre Safe 5-plånböcker

Trezor har fastställt att tre hårdvaruplånböcker från återförsäljaren CryptoBilis innehåller skadliga kretskort. En ny firmware-uppdatering blockerar dataläckaget, men plånböckerna anses komprometterade och bör bytas ut.

Kryptoplånböcker marknadsförs ofta som den säkraste vägen att förvara digitala tillgångar tack vare isolerad hårdvara. Nu har Trezor bekräftat att fysiska attacker via försörjningskedjan kan kringgå denna säkerhet genom dolda implantat, en sårbarhet som nu påverkat deras senaste modell Safe 5.

## Vad som hände

Trezor har efter laboratorieundersökningar bekräftat att tre exemplar av plånboken Safe 5 innehöll skadliga hårdvaruimplantat [enligt BleepingComputer](https://www.bleepingcomputer.com/news/cryptocurrency/trezor-confirms-crypto-stealing-implants-in-three-wallets-releases-fix/). Alla tre enheter hade köpts från den sydostasiatiska återförsäljaren CryptoBilis mellan den 20 augusti och den 23 september 2026.

Undersökningen inleddes i oktober efter att en kund upptäckt ett okänt kretskort i sin enhet. Trezor har nu granskat originalenheten samt bilder från två andra ägare och identifierat samma typ av manipulation. Bolaget uppger att 48 kunder som köpt från CryptoBilis kontaktat dem, men hittills har endast de tre ovan nämnda enheterna bekräftats vara komprometterade. Inga andra återförsäljare i regionen har visat tecken på manipulation enligt Trezors kontroller.

## Så fungerar implantaten

Trezors ingenjörer analyserade firmwaren hos de skadliga komponenterna och fastställde att implantatet består av ett extra kretskort installerat mellan huvudkortet och displayen. Placeringen möjliggör övervakning av skärminnehållet utan att modifiera enhetens legitima firmware eller den säkra elementen (Secure Element).

När en användare skapar en ny plånbok eller återställer en befintlig sådan visas återställningsfraser (recovery phrases) på skärmen. Implantatet fångar dessa ord, samt eventuella passfraser, krypterar informationen och sänder den via mobilnät till angriparekontrollerade servrar. Om nätverksanslutning saknas lagras data lokalt tills en överföring kan genomföras.

## Försvar och konsekvenser

Den 11 november 2026 släppte Trezor firmwareversion 2.13.1 som innehåller skydd mot dessa specifika implantat. Uppdateringen gör nuvarande batch av implantat oanvändbara genom att förhindra att de fångar information på enheter som kör den nya koden.

Trezor varnar dock för att uppdateringen inte kan återställa säkerheten för återställningsfraser som redan har läckt innan installationen. Även om inga Trezor-kunder rapporterat stulna medel, uppmanar bolaget alla som köpt en Safe 5 från CryptoBilis sedan mars 2026 att flytta sina kryptotillgångar till en ny plånbok med en helt ny återställningsfras. Ersättningsenheter erbjuds till dessa kunder.

Som direkt följd av leveranskedjeattackerna har Trezor minskat sitt globala nätverk av auktoriserade återförsäljare med cirka 80 procent. De borttagna partnerna anses ha varit pålitliga, men uppfyllde inte de striktare säkerhetskrav som nu införs gällande källning, lagring och hantering av enheterna.

## Analys: fysisk integritet blir avgörande

Detta fall illustrerar ett skifte i hotbilden mot hårdvaruplånböcker. Traditionell säkerhet har fokuserat på mjukvarusårbarheter och kryptografisk isolering, med utgångspunkten att så länge Secure Element är intakt är privata nycklar säkra. Dessa implantat kringgår det antagandet genom fysisk manipulering av signalvägarna innan de når den säkra komponenten.

Att implantaten opererar utan att ändra firmware gör dem svåra att upptäcka via standardintegritetskontroller som jämför checksummor. För användaren innebär det att fysisk integritet vid inköp och hantering av försörjningskedjan blir lika kritisk som den kryptografiska implementationen. Trezors drastiska nedskärning av återförsäljarnätverket signalerar att branschen tvingas ta större ansvar för logistiken än tidigare, där tillit till tredje part nu ersätts av verifierbar kedja.