O fabricante de carteiras de hardware Trezor disse aos clientes que compraram uma Trezor Safe 5 ao revendedor CryptoBilis desde março de 2026 para transferirem os seus criptoativos para uma carteira recém-criada, depois de ter recebido uma denúncia de que um desses dispositivos tinha sido equipado com um implante de hardware capaz de espiar dados sensíveis.
A empresa afirmou ter recebido o aviso a 28 de outubro de 2026 e publicou um alerta através de uma publicação no blogue dois dias depois, na sexta-feira, 30 de outubro. Segundo o relato, um cliente encontrou uma placa de circuito extra encaixada entre a placa principal do dispositivo e o respetivo ecrã. Essa placa terá incluído um módulo celular e uma antena, que alegadamente poderiam ler as informações apresentadas no ecrã e transmiti-las a atacantes através da rede móvel.
A Trezor disse ainda não ter conseguido examinar o próprio dispositivo, mas considera o relato credível depois de uma chamada de vídeo com o cliente afetado. A empresa não conseguiu confirmar se o alegado implante funciona efetivamente como descrito.
Numa publicação nas redes sociais, a Trezor escreveu: "Atualização CryptoBilis. Fomos informados, através de divulgação responsável, de um único implante de hardware num dispositivo Trezor Safe 5 comprado ao revendedor CryptoBilis em agosto de 2026. Nenhum comprador da CryptoBilis nos reportou perda de fundos. IMPORTANTE: Se comprou uma Trezor a..."
A Trezor afirmou ter examinado mais quatro dispositivos comprados à CryptoBilis e não ter encontrado indícios de manipulação nessas unidades. A empresa disse também não ter, até ao momento, conhecimento de qualquer cliente que tenha perdido fundos relacionados com este caso.
A CryptoBilis foi retirada da rede de revendedores autorizados da Trezor no início de outubro de 2026. Este revendedor já tinha estado envolvido num incidente semelhante com a concorrente Ledger, em que esta confirmou que carteiras de hardware vendidas através da CryptoBilis tinham sido manipuladas. Analistas de blockchain estimaram perdas desse episódio anterior em mais de 86 milhões de dólares americanos.
Recomendações para compradores afetados
A Trezor aconselha quem tenha comprado uma Trezor Safe 5 à CryptoBilis desde março de 2026 a configurar uma nova carteira com uma frase de recuperação gerada de raiz e a transferir os seus fundos para lá, em vez de reutilizar a frase de recuperação associada a um dispositivo potencialmente comprometido.
O alerta surge meses depois de a Trezor ter divulgado outros incidentes de segurança que afetaram a sua base de clientes. Em agosto, uma violação de dados no prestador de serviços de envio ShipMonk expôs informações pessoais de cerca de 13.700 clientes da Trezor. Em setembro, a empresa informou que cerca de mais 67.000 clientes nos Estados Unidos também tinham sido afetados por uma exposição de dados.
