شرکت تریزور به خریدارانی که کیف پول‌های سخت‌افزاری خود را از فروشنده‌ای به نام CryptoBilis تهیه کرده‌اند هشدار داده است دارایی‌هایشان را به کیف پولی تازه منتقل کنند. این هشدار پس از آن صادر شد که یک مشتری در اندونزی از پیدا کردن یک قطعه سخت‌افزاری ناشناس در دستگاه Trezor Safe 5 خود خبر داد؛ دستگاهی که او در اوت ۲۰۲۶ از CryptoBilis و از طریق پلتفرم تجارت الکترونیک Tokopedia خریده بود.
به گزارش Decrypt، تریزور هنوز خود دستگاه را دریافت و در آزمایشگاه بررسی نکرده است، اما گزارش مشتری را معتبر می‌داند. این شرکت گفت شرح فنی ارائه‌شده و ویدیوی گفت‌وگو با مشتری آن‌قدر نگران‌کننده بوده که ترجیح داده پیش از تکمیل بررسی‌های فنی، به خریداران هشدار دهد.
قطعه ناشناس چه کاری انجام می‌دهد؟
بر اساس گزارشی که تریزور هنوز آن را به‌طور مستقل تأیید نکرده، یک برد الکترونیکی اضافی بین برد اصلی دستگاه و نمایشگر آن قرار گرفته است. این برد reportedly دارای ماژول ارتباطی سلولار و آنتن است و می‌تواند اطلاعاتی را که روی صفحه نمایش داده می‌شود بخواند.
مهم‌ترین بخش گزارش به عبارت بازیابی کیف پول مربوط است. عبارت بازیابی، مجموعه‌ای از کلمات است که برای پشتیبان‌گیری و بازیابی دسترسی به دارایی‌های یک کیف پول رمزارزی استفاده می‌شود. طبق توضیح مشتری، قطعه نصب‌شده این عبارت را هنگام نمایش روی صفحه می‌خواند و هر زمان دستگاه به برق متصل شود، اطلاعات را از طریق شبکه موبایل ارسال می‌کند.
تریزور در وبلاگ خود گفت سازوکار ادعایی این قطعه شباهت‌هایی با پرونده‌ای دارد که پیش‌تر درباره دستگاه‌های لجر فروخته‌شده از همین فروشنده مطرح شده بود. با این حال، شرکت تأکید کرده است که تحقیقات ادامه دارد و هنوز درباره عامل نصب قطعه یا ارتباط قطعی میان دو پرونده اظهارنظر نمی‌کند.
توصیه تریزور به خریداران
این گزارش در ۲۸ اکتبر از مسیر برنامه افشای مسئولانه تریزور به شرکت ارائه شد. تریزور از همه افرادی که از مارس ۲۰۲۶ به بعد یکی از کیف پول‌های این شرکت را از CryptoBilis خریده‌اند خواسته است در سریع‌ترین زمان ممکن اقدامات زیر را انجام دهند:
- دارایی‌های خود را به کیف پولی جدید منتقل کنند.
- برای کیف پول جدید، یک عبارت بازیابی تازه بسازند.
- عبارت بازیابی قدیمی را در هیچ دستگاه دیگری دوباره استفاده نکنند.
- اگر دستگاه هنوز راه‌اندازی نشده است، آن را استفاده نکنند.
خریداران می‌توانند دستگاه خریداری‌شده از CryptoBilis را نزد خود نگه دارند و برای دریافت جایگزین با پشتیبانی تریزور تماس بگیرند. این شرکت اعلام کرده است که تا زمان انتشار هشدار، هیچ‌یک از خریداران CryptoBilis از زیان مالی به تریزور گزارش نداده‌اند.
تریزور پس از دریافت این گزارش گفت چهار دستگاه خریداری‌شده از CryptoBilis را بررسی کرده است: یک Safe 7، دو Safe 5 و یک Safe 3. در این چهار دستگاه، نشانه‌ای از دست‌کاری پیدا نشده است. با وجود این، شرکت می‌گوید تا زمانی که دستگاه موضوع گزارش را مستقیماً دریافت و بررسی نکند، نمی‌تواند درباره دامنه مسئله یا تعداد احتمالی دستگاه‌های درگیر نتیجه‌گیری کند.
سابقه پرونده CryptoBilis و تصویر بازار
تریزور در ۹ اکتبر CryptoBilis را از فهرست فروشندگان مجاز خود حذف کرد. این اقدام پس از آن انجام شد که شرکت رقیب، لجر، بررسی زیان‌های برخی مشتریانی را آغاز کرد که دستگاه‌های خود را از این فروشنده جنوب شرق آسیا تهیه کرده بودند.
تیم امنیتی Donjon لجر در دستگاه‌هایی که از CryptoBilis فروخته شده بودند، قطعه‌ای پیدا کرد که طبق اعلام این شرکت، عبارت بازیابی ۲۴کلمه‌ای را هنگام راه‌اندازی از روی نمایشگر می‌خواند و از طریق LTE ارسال می‌کرد. لجر گفته است همه زیان‌های تأییدشده به دستگاه‌های خریداری‌شده از CryptoBilis مربوط بوده و از فروشندگان در هفت بازار آسیایی خواسته است محصولات خود را جمع‌آوری کنند. بر اساس داده‌های شرکت تحلیل بلاک‌چین Chainalysis، یکی از بزرگ‌ترین قربانیان بیش از ۶۰ بیت‌کوین، به ارزش حدود ۴.۸ میلیون دلار، از دست داده است.
تریزور پیش‌تر نیز درباره یک حادثه مرتبط با شرکای خود اطلاع‌رسانی کرده بود. این شرکت در اوت گفت رخنه در شرکت حمل‌ونقل ShipMonk نام، شماره تلفن و نشانی منزل نزدیک به ۱۴ هزار مشتری آمریکایی را افشا کرده است؛ رقمی که در سپتامبر ۶۷ هزار نفر دیگر به آن اضافه شد.
در بازار رمزارز، داده‌های Moneyiar در زمان ثبت‌شده نشان می‌دهد قیمت Safe با نماد SAFE برابر با ۰٫۱۰۲۹۲۲۹۴۶۶ دلار بوده و این دارایی در ۲۴ ساعت ۱٫۸۵ درصد کاهش و در هفت روز ۱٫۹۹ درصد افزایش داشته است. Walrus با نماد WAL با قیمت ۰٫۰۳۴۳۱۹۰۴۷۱ دلار، در ۲۴ ساعت ۰٫۳ درصد و در هفت روز ۱۱٫۹۷ درصد افت کرده است. قیمت FUNToken با نماد FUN برابر با ۰٫۰۰۸۹۱۸۲۴۱۴ دلار بوده؛ این توکن در ۲۴ ساعت ۱٫۶۲ درصد رشد و در هفت روز ۰٫۰۸ درصد افزایش داشته است. همچنین RedStone با نماد RED با قیمت ۰٫۱۴۵۲۶۰۳۱۹۲ دلار، در ۲۴ ساعت ۲٫۷۲ درصد کاهش و در هفت روز ۶٫۳۶ درصد رشد کرده است. زمان ثبت داده‌های Moneyiar برای SAFE و FUN، ساعت ۲۲:۳۹ روز ۲۵ اکتبر ۲۰۲۶ و برای WAL ساعت ۲۲:۳۸ همان روز بوده است.
