KIungefiltert

· 4 Min. Lesezeit · Read in English

Trezor warnt: Mutmaßliches Diebstahl-Implantat in Safe 5 vom Händler CryptoBilis

Ein Kunde meldet eine Zusatzplatine in einer Trezor Safe 5, die die Recovery-Phrase per Mobilfunk senden soll. Unbestätigt, aber Trezor rät allen CryptoBilis-Käufern seit März 2026: Geld umziehen.

Sicherheit

Trezor warnt vor einem mutmaßlichen Hardware-Implantat in einer Trezor Safe 5, die über den Händler CryptoBilis in Südostasien verkauft wurde. Ein Implantat ist hier ein zusätzliches, heimlich eingebautes Bauteil, das das Gerät manipuliert. Wichtig vorweg: Trezor hat das Gerät noch nicht selbst untersucht. Die Warnung beruht auf der Meldung eines Kunden. Der Hersteller hält sie aber für glaubwürdig genug, um jetzt schon zu handeln.

Was passiert ist

Laut Trezors eigener Mitteilung ging am 28. Oktober 2026 über das Responsible-Disclosure-Programm eine Meldung ein. Responsible Disclosure heißt: Wer eine Schwachstelle findet, meldet sie zuerst dem Hersteller statt sie zu veröffentlichen. Ein Kunde aus Indonesien hatte die Safe 5 im August 2026 bei CryptoBilis über die Plattform Tokopedia gekauft. Nach dem Öffnen fand er nach eigenen Angaben eine zusätzliche Platine zwischen Hauptplatine und Display, mit Mobilfunkmodul und Antenne.

Diese Platine soll den Bildschirminhalt mitlesen, also auch die Recovery-Phrase. Das ist die Liste aus meist 12 bis 24 Wörtern, mit der sich ein Krypto-Wallet komplett wiederherstellen lässt. Wer sie hat, hat das Geld. Sobald das Gerät angeschlossen ist, soll die Platine die Phrase über ein Mobilfunknetz verschicken. Das ist alles noch unbestätigt. Trezor hat Fotos und ein Videogespräch mit dem Kunden, das Gerät wird gerade ins Labor geschickt (BleepingComputer, The Hacker News).

Was seit meinem ersten Post dazugekommen ist

Ein paar Punkte muss ich ergänzen bzw. präzisieren:

  • Nicht nur die Safe 5: Die Warnung gilt für jedes Trezor-Modell, das seit März 2026 bei CryptoBilis gekauft wurde. Das gilt auch für Läden, die Geräte von CryptoBilis weiterverkauft haben, etwa den Tokopedia-Shop.
  • Kein bekannter Schaden: Der meldende Kunde hatte sein Guthaben schon vor dem Fund vom Wallet abgezogen. Trezor sind bisher keine Verluste von CryptoBilis-Käufern gemeldet worden.
  • Weitere Geräte unauffällig: Laut Decrypt hat Trezor inzwischen vier andere bei CryptoBilis gekaufte Geräte geprüft (eine Safe 7, zwei Safe 5, eine Safe 3) und keine Manipulation gefunden. Bisher geht es also um ein einziges gemeldetes Gerät.
  • Ersatz: Wer seinen Kauf belegen kann, bekommt von Trezor ein neues Gerät oder einen Gutschein.

Warum das wichtig ist

Ein Hardware-Wallet ist ein kleines Gerät, das die Schlüssel zu Kryptowährungen offline aufbewahrt. Das soll genau gegen Malware auf dem PC schützen. Ein Implantat im Gerät selbst hebelt dieses Versprechen komplett aus. Das ist ein klassischer Lieferkettenangriff (Supply-Chain-Angriff): Nicht der Hersteller wird angegriffen, sondern das Produkt irgendwo auf dem Weg zum Kunden.

Der Fall steht nicht allein. CryptoBilis war auch in einen Implantat-Fall bei Ledger verwickelt. Ledger hat dort eine Manipulation bestätigt, die die Recovery-Phrase bei der Einrichtung abgreift. Trezor hat CryptoBilis deshalb schon am 9. Oktober als Händler gestrichen, noch bevor es Hinweise auf eigene Geräte gab. Die Polizei in Singapur hat am 28. Oktober zusätzlich vor manipulierten Ledger-Geräten aus einigen Ladengeschäften gewarnt. Trezor sagt, die gemeldete Platine scheine ähnlich zu funktionieren wie die Ledger-Implantate. Einen direkten Vergleich will der Hersteller aber nicht ziehen, solange die Untersuchungen laufen. Wer dahintersteckt, ist offen.

Wer betroffen ist

Alle, die seit März 2026 ein Trezor-Gerät bei CryptoBilis oder bei einem Laden mit CryptoBilis-Ware gekauft haben. Andere Händler oder Regionen sind laut Trezor bisher nicht betroffen. Wer unsicher ist, schaut auf die Rechnung nach dem Verkäufer oder fragt beim Trezor-Support nach.

Was du konkret tun solltest

  • Gerät schon eingerichtet: Guthaben so schnell wie möglich auf ein neues Wallet mit einer neuen Recovery-Phrase verschieben. Die alte Phrase auf einem anderen Gerät wiederherzustellen bringt nichts, denn die Phrase selbst gilt als kompromittiert.
  • Kein anderes sicheres Hardware-Wallet zur Hand: Übergangsweise ein Software-Wallet oder eine vertraute Börse nutzen und die Empfangsadresse vollständig prüfen.
  • Gerät noch nicht eingerichtet: Nicht einrichten und auf keinen Fall eine bestehende Recovery-Phrase eingeben.
  • Nicht selbst basteln: Gerät nicht öffnen und nicht wiegen. Laut Trezor ist das Gewicht kein verlässlicher Test. Gerät aufbewahren und den Support kontaktieren.
  • Phishing erwarten: Betrüger werden den Fall mit gefälschten Mails, Briefen und Anrufen ausnutzen. Niemand Seriöses fragt nach deiner Recovery-Phrase, auch der Trezor-Support nicht.

Ganz allgemein rate ich: Hardware-Wallets nur direkt beim Hersteller oder bei offiziell gelisteten Händlern kaufen. Marktplatzangebote und Graumarkt-Ware sind bei einem Gerät, dem du dein Geld anvertraust, keine gute Idee. Sobald Trezor Laborergebnisse veröffentlicht, ordne ich das hier nach.

Quellen