Trezor-Implantat bei Cryptobilis: Was deutsche Käufer beachten sollten

Zusätzliche Platine mit Mobilfunkmodul

Das Sicherheitsteam habe einen glaubwürdigen Hinweis auf ein bösartiges Hardware-Implantat in einer Trezor Safe 5 erhalten, teilte Trezor am Freitag mit. Das Gerät stammt von Cryptobilis, bis Oktober ein offizieller Trezor-Wiederverkäufer in Südostasien, der auch in den Ledger-Fall verwickelt ist. Ein Kunde in Indonesien hatte es im August über die Onlineplattform Tokopedia gekauft und meldete den Fund am 28. Oktober an Trezor.

Laut dem Bericht steckt zwischen Hauptplatine und Bildschirm eine zusätzliche Leiterplatte mit einem Mobilfunkmodul und einer Antenne. Sie lese mit, was der Bildschirm anzeigt, einschließlich der Wiederherstellungsphrase, und sende die Daten über ein Mobilfunknetz, sobald das Gerät an den Strom angeschlossen ist. Trezor betont, das selbst noch nicht überprüft zu haben.

Das Unternehmen hat Fotos ausgewertet und den Kunden per Videoanruf befragt, das Gerät aber noch nicht untersucht. Es stuft den Bericht als glaubwürdig ein und lässt das Gerät in sein Labor schicken. Gestohlen worden sei bislang nichts, teilte Trezor mit. Der Kunde habe seine Gelder schon vor dem Fund von dem Gerät abgezogen.

Was Käufer in Deutschland, Österreich und der Schweiz wissen sollten

Für Käufer im deutschsprachigen Raum kommt es vor allem darauf an, wo das Gerät herkommt. Die Warnung des tschechischen Herstellers gilt für Geräte, die Cryptobilis geliefert hat, auch über den Shop des Händlers bei Tokopedia. Meldungen zu anderen Wiederverkäufern lägen nicht vor, heißt es in den Fragen und Antworten zu dem Vorfall.

Wer unsicher ist, woher sein Gerät stammt, solle den Verkäufer auf der Rechnung prüfen oder sich an den Support wenden. Selbst nachprüfen lasse sich eine Manipulation nicht. Wiegen sei kein verlässlicher Test, und es gebe keine sichere Methode, das Gerät selbst zu untersuchen.

Den deutschen Markt hatte der Fall bereits über Ledger erreicht. Nachdem ein Kunde in Deutschland ein Implantat in einem Ledger-Gerät gemeldet hatte, stoppte Mediamarkt Saturn am 13. Oktober in Filialen und online vorübergehend den Verkauf von Ledger-Geräten. Verluste wurden in diesem Fall nach Angaben von Ledger nicht gemeldet.

Zudem warnt Trezor vor Betrügern, die den Vorfall für Phishing nutzen dürften, etwa mit gefälschten E-Mails, Briefen und Anrufen. Das Risiko ist nicht neu. Im September hatte Trezor gemeldet, dass bei einem Datenleck beim Versanddienstleister Shipmonk Namen, Telefonnummern und Lieferadressen von rund 80.000 Kunden offengelegt wurden, vor allem in den USA.

Der Fund folgt auf den Ledger-Skandal

Ledger hatte am 9. Oktober begonnen, Verluste von Kunden zu untersuchen, nachdem Berichte über manipulierte Geräte von Cryptobilis aufgetaucht waren. Später bestätigte der Hersteller, dass einige Geräte bei einem ausgeklügelten Angriff auf die Lieferkette manipuliert worden waren. Die gemeldeten Verluste werden auf rund 93 Millionen Dollar (rund 83 Millionen Euro) geschätzt, bestätigt hat Ledger diese Zahl nicht.

Ledgers Sicherheitsteam Donjon beschrieb am 13. Oktober, dass das Implantat im Inneren des Geräts sitzt, mitliest, was der Bildschirm anzeigt, und die Wiederherstellungsphrase über das Mobilfunknetz LTE verschickt. Das Implantat im Trezor-Gerät scheint nach Einschätzung von Trezor ähnlich zu funktionieren.

Trezor selbst hatte Cryptobilis bereits am 9. Oktober aufgefordert, den Verkauf aller Trezor-Geräte einzustellen, und den Händler aus seinem Netz genommen. Ab dem 14. Oktober bat der Hersteller Kunden von Cryptobilis, ihre Geräte zur Prüfung einzuschicken. Vier zurückgesandte Geräte, eine Safe 7, zwei Safe 5 und eine Safe 3, zeigten keine Spuren einer Manipulation.

Zudem kündigte das Unternehmen an, sein Netz autorisierter Wiederverkäufer ab dem 1. Januar 2027 deutlich zu verkleinern, um den Vertrieb seiner Geräte besser zu kontrollieren. Damals erklärte Trezor, es gebe keine Hinweise auf kompromittierte eigene Geräte.

Trezor rät zum Umzug der Kryptowerte

Ob hinter dem mutmaßlichen Angriff auf das Trezor-Gerät dieselben Täter stecken wie bei Ledger, ist offen. Wer seit März 2026 ein Trezor-Gerät bei Cryptobilis gekauft hat, solle seine Kryptowährungen sofort in eine neu erstellte Wallet mit neuer Wiederherstellungsphrase übertragen, rät das Unternehmen. Die alte Wiederherstellungsphrase auf einem anderen Gerät einzuspielen, löse das Problem nicht. Noch nicht eingerichtete Geräte sollten Käufer gar nicht erst in Betrieb nehmen.

Betroffene Käufer erhalten ein Ersatzgerät, das Trezor direkt verschickt, oder einen Gutschein über den Preis einer neuen Wallet. Die Warnung gilt für alle bei Cryptobilis gekauften Trezor-Modelle, auch wenn das mutmaßliche Implantat bislang nur in einer einzigen Safe 5 gemeldet wurde. Bei den Ermittlungen arbeite das Unternehmen mit Ledger und weiteren Beteiligten zusammen.