Trezor doğruladı: CryptoBilis'ten alınan üç Safe 5 cüzdanda recovery phrase'i kopyalayan implant bulundu
Trezor, eski satıcısı CryptoBilis üzerinden satılan üç Safe 5 cihazında ekran ile ana kart arasına yerleştirilmiş bir implant bulunduğunu açıkladı. Firmware 2.13.1 bilinen implantları etkisiz kılıyor ancak daha önce kopyalanmış bir yedeği korumuyor; şirketin önerisi değişmedi.
Donanım cüzdanı üreticisi Trezor, 6 Kasım'da iddia olarak duyurduğumuz implant bildirimini doğruladı. The Hacker News'ün aktardığına göre şirket, Güneydoğu Asya'daki eski yetkili satıcısı CryptoBilis üzerinden satılan üç Trezor Safe 5 cihazında, recovery phrase'i kopyalayabilen ek bir devre kartı bulunduğunu 12 Kasım'da açıkladı.
Şirket cihazlardan birini kendi laboratuvarında inceledi, diğer ikisini sahiplerinin gönderdiği fotoğraflardan tespit etti. Üç cihaz 20 Ağustos ile 23 Eylül arasında satın alınmış. Trezor, bugüne kadar bu implantlara bağlı bir fon kaybı bildirimi almadığını söylüyor; ancak cüzdanlar self-custodial olduğu için şirket kimsenin bakiyesini göremiyor.
İmplant nasıl çalışıyor?
Trezor'un incelemesine göre implant, Safe 5'in ana kartı ile ekranı arasına yerleştirilmiş ve cihazın kendisinde, firmware ve Secure Element dahil, hiçbir şeyi değiştirmiyor. Yaptığı iş ekranı okumak:
- Yedek oluşturulurken ekranda gösterilen recovery phrase'i kopyalıyor.
- Mevcut bir cüzdan cihaza geri yüklenirken girilen ifadeyi kopyalıyor.
- Ekranda görünürse passphrase'i de alıyor.
- Veriyi şifreleyip mobil şebeke üzerinden saldırganların sunucusuna gönderiyor; bağlanamazsa saklayıp yeniden deniyor.
Şirket, saldırganlara yardımcı olabilecek teknik ayrıntıları yayımlamayacağını belirtti. İmplantı kimin, tedarik zincirinin hangi noktasında taktığı açıklanmadı. Trezor'a göre düzenek, Ledger'ın aynı satıcının sattığı bir cihazda doğruladığı implantla aynı mantıkta çalışıyor ve Safe 5'in ekranına uyarlanmış.
Firmware 2.13.1 neyi çözüyor, neyi çözmüyor?
Bu hafta yayımlanan 2.13.1 sürümü (Safe 7, Safe 5, Safe 3 ve Model T için), şirkete göre şimdiye kadar bulunan implantların bu sürümü çalıştıran cihazlarda veri yakalamasını engelliyor. Sınırı da açık: güncelleme, kendisinden önce kopyalanmış bir yedeği koruyamıyor.
Şirket şu ana kadar implantı yalnızca bu satıcının sattığı Safe 5 cihazlarında buldu; diğer satıcılarda ve diğer modellerde bulgu yok. Ekim'deki ilk bildirimlerin ardından satıcıdan cihaz alan 48 kişi şirketle iletişime geçti. Trezor ayrıca satıcı ağını yaklaşık yüzde 80 küçülttüğünü, listeden çıkarılanların ellerindeki stoku 1 Ocak 2027'ye kadar satabileceğini bildirdi.
Ne yapılmalı?
Trezor'un Mart 2026'dan itibaren CryptoBilis'ten (Tokopedia ve Shopee mağazaları dahil) cihaz alanlara önerisi değişmedi:
- Fonlarınızı yeni bir recovery phrase ile kurulmuş yeni bir cüzdana taşıyın. Eski ifadeyi başka bir cihaza geri yüklemek sorunu çözmez.
- Bu satıcıdan alınmış kullanılmamış bir cihazı kurmayın; mevcut bir recovery phrase'i böyle bir cihaza asla girmeyin.
- Cihazı atmayın, Trezor Support ile iletişime geçin; şirket bu alıcılara yeni cihaz veriyor. Cihazınızın nereden geldiğinden emin değilseniz de destek hattına sorun.
- Cihazı tartarak ya da açarak kendiniz kontrol etmeye çalışmayın; şirkete göre ikisi de güvenilir bir test değil.
- Recovery phrase'inizi kimseyle paylaşmayın. Şirket bunu hiçbir zaman istemez; "değişim" ya da "iade" vaadiyle şirket adına yazan dolandırıcılara karşı dikkatli olun.
Donanım cüzdanını yalnızca üreticinin kendi mağazasından ya da güncel yetkili satıcı listesindeki bir satıcıdan almak, bu olayın en yalın dersi.
