Trezor xác nhận ba ví Safe 5 mua từ đại lý CryptoBilis bị gắn mạch cấy đánh cắp cụm từ khôi phục, và đã phát hành firmware 2.13.1 vô hiệu hóa mạch này.
Hãng ví lạnh Trezor cho biết đã kiểm tra trực tiếp thiết bị bị nghi có mạch cấy, được khách hàng báo hồi tháng 10, và xác nhận nghi ngờ là đúng. Theo bản cập nhật điều tra ngày 12/11, phòng thí nghiệm của hãng còn nhận diện thêm hai ví nhiễm mạch cấy qua ảnh chụp do chủ sở hữu gửi. Như vậy tổng cộng có ba chiếc Safe 5 bị can thiệp phần cứng, đều mua từ đại lý CryptoBilis ở Mala.
Cả ba thiết bị được bán trong khoảng 20/8 đến 23/9/2026, qua các gian hàng của CryptoBilis trên Tokopedia, Shopee và trực tiếp từ đại lý này. Từ khi Trezor đưa ra cảnh báo hồi tháng 10, 48 khách mua hàng tại CryptoBilis đã liên hệ hãng để kiểm tra. Hãng cũng xem xét thiết bị của các đại lý khác trong khu vực và không thấy dấu hiệu bị can thiệp. Chưa có khách hàng nào báo mất tiền.
Các kỹ sư của Trezor đã phân tích phần mềm nhúng của mạch cấy. Đó là một bo mạch phụ nằm giữa bo mạch chính và màn hình của Safe 5. Nhờ vị trí này, mạch theo dõi được nội dung hiển thị mà không phải sửa firmware chính thức hay chip bảo mật Secure Element, nơi ví lưu khóa riêng.
Khi cụm từ khôi phục (dãy từ dùng để lập lại ví trên thiết bị khác) hiện trên màn hình, mạch sẽ thu lại. Điều này xảy ra lúc người dùng tạo bản sao lưu mới hoặc khôi phục ví cũ. Mạch cũng lấy được passphrase (mật khẩu bổ sung) nếu nó hiện trên màn hình. Dữ liệu bị mã hóa rồi gửi qua mạng di động đến máy chủ của kẻ tấn công. Nếu chưa có kết nối, mạch giữ dữ liệu và liên tục thử gửi lại cho đến khi thành công.
Ngày 11/11, Trezor phát hành firmware 2.13.1. Hãng cho biết bản này chặn mạch cấy đã phát hiện, khiến lô mạch hiện tại không thu được gì trên thiết bị đã cập nhật. Tuy vậy, bản cập nhật không bảo vệ được cụm từ khôi phục đã bị thu trước khi cài đặt. Vì thế, khách mua từ CryptoBilis vẫn được khuyến nghị chuyển tiền sang ví mới với cụm từ khôi phục mới, dù chưa ai báo mất tiền.
Trezor công bố kế hoạch thu hẹp từ tháng 10 và sẽ cắt giảm khoảng 80% mạng lưới đại lý trên toàn cầu. Các đại lý bị loại đều đáng tin cậy và không gây nguy cơ, nhưng không đáp ứng các yêu cầu an ninh chuỗi cung ứng chặt hơn. Những đối tác còn lại phải tuân thủ quy định mới về cách nhập hàng, lưu kho và kiểm soát người tiếp cận thiết bị.
Trezor đang đổi thiết bị mới cho mọi người đã mua ví tại CryptoBilis từ tháng 3/2026, kể cả những trường hợp chưa xác nhận bị can thiệp.
