В октябре мы описали, как атаки ушли с чипа: импланты реселлеров, взломанная рассылка, поддельные расширения. Слабое место — доверенные каналы вокруг устройства.
2 ноября 2026 Trezor сообщил о случае, которого не было при публикации октябрьского материала. Покупатель Trezor Safe 5 у реселлера CryptoBilis (Tokopedia) сообщил о скрытой плате, которая может передавать содержимое экрана, включая резервную фразу при настройке. Обращение 28 октября через responsible disclosure. Устройство в лаборатории ещё не проверено; опубликовано превентивное предупреждение.
Предупреждение Trezor о CryptoBilis
Рекомендация для всех моделей Trezor, купленных у CryptoBilis с марта 2026. По сообщениям в прессе — дополнительная плата с сотовым модулем, считывающая экран. Trezor считает описание достаточно правдоподобным, чтобы предупредить до лабораторного подтверждения.
Перенесите средства в новый кошелёк с новой seed-фразой. Восстановление старой копии не поможет, если фраза уже утекла. Не инициализируйте неиспользованные устройства CryptoBilis. Не вскрывайте корпус для самопроверки.
Пост Trezor, Help Net Security.
Тот же реселлер
Bitquery оценивала потери Ledger через CryptoBilis в 92,9 млн долларов по 311 кошелькам. Подробности — в октябрьском обзоре.
Passphrase на 128 символов
С 1 ноября 2026 (Suite 26.10.x, прошивка 2.13.0) на Safe 3/5/7 и Model T лимит passphrase — 128 символов (Model One — 50). Это не защита от импланта или утёкшей seed с экрана. FAQ Trezor. Clear Signing.
Ledger и NGRAVE
3 ноября — письмо Ledger о критическом баге без CVE в тексте. 17 октября — фишинг push NGRAVE LIQUID, ~2,65 млн долл. (канал приложения, не чип).
Что делать
- Официальный Trezor, Ledger.
- Новая seed, проверка адреса на экране устройства.
- Обзоры: Safe 5, Safe 3, Safe 7.
- Руководство по безопасности.
Вывод WalletLab
Ноябрь продолжает октябрьскую тему доверенных каналов. Passphrase полезна на подлинном устройстве, но не исправляет seed, считанную имплантом с дисплея.