Trezor, Hersteller von Hardware-Wallets für Kryptowährungen, hat am 30. Oktober 2026 bekanntgegeben, dass er die Meldung eines versteckten Implantats in einem Trezor Safe 5 prüft. Das Gerät war im August 2026 bei CryptoBilis gekauft worden, einem ehemaligen autorisierten Wiederverkäufer in Südostasien. Der Hersteller hält den Bericht für glaubwürdig, wartet aber auf das Gerät, um ihn im Labor zu bestätigen. Ein Verlust von Geldern wurde ihm nicht gemeldet.
Eine glaubwürdige Meldung, noch nicht bestätigt
Gemäss der Mitteilung von Trezor, über die Journal du Coin berichtet, erhielt das Sicherheitsteam des Herstellers den Bericht am 28. Oktober 2026. Er ging über das Programm zur verantwortungsvollen Offenlegung des Herstellers ein.
Der Besitzer beschreibt eine zusätzliche Platine zwischen der Hauptplatine und dem Bildschirm. Sie soll ein Mobilfunkmodul und eine Antenne tragen. Laut seiner Schilderung liest diese Vorrichtung mit, was angezeigt wird, darunter die Wiederherstellungsphrase. Diese würde sie anschliessend über das Mobilfunknetz senden, sobald das Gerät angeschlossen ist.
Trezor liegen Fotos vor, und der Hersteller hat den Kunden per Videokonferenz befragt. Bestätigen lassen sich diese Angaben jedoch nur durch eine Laboranalyse. Der Kunde hatte seine Gelder bereits verschoben, bevor er das mutmassliche Implantat entdeckte.
Der Hersteller gibt an, vier weitere Geräte von CryptoBilis untersucht zu haben, ohne eine Manipulation festzustellen. Er steht im Austausch mit Ledger und mit SEAL 911, einer Notfall-Einsatzgruppe der Krypto-Community. Die Vorfälle schreibt er deshalb aber nicht denselben Tätern zu.
Mark Karpelès, ehemaliger Chef von Mt. Gox, hat die Warnung weiterverbreitet. Er bietet an, die Versandkosten für verdächtige Geräte zu übernehmen, damit diese analysiert werden können. Dieses Angebot ersetzt die von Trezor erwartete Untersuchung nicht.
Welche Trezor-Geräte sind betroffen?
Vorsorglich gelten die Anweisungen für alle Trezor-Modelle, die seit März 2026 bei CryptoBilis gekauft wurden. Sie gelten auch für die Geschäfte, die dieser Vertriebspartner belieferte. Der gemeldete Safe 5 war auf Tokopedia gekauft worden, einer indonesischen Online-Handelsplattform. Trezor hatte CryptoBilis am 9. Oktober 2026 aus seinem Netz autorisierter Wiederverkäufer entfernt.
Für diese Geräte gibt der Hersteller vier Anweisungen:
- Bereits verwendetes Gerät: die Gelder rasch auf ein neu erstelltes Wallet mit einer neuen Wiederherstellungsphrase übertragen. Die alte Phrase auf einem anderen Gerät wiederherzustellen, genügt nicht, falls sie abgefangen wurde.
- Kein anderes vertrauenswürdiges Hardware-Wallet: vorübergehend ein Software-Wallet oder eine dem Nutzer bekannte Handelsplattform verwenden. Die Empfangsadresse wird vor der Übertragung vollständig überprüft.
- Gerät noch neu: es nicht einrichten und keine bestehende Phrase darauf eingeben.
- In jedem Fall: das Gerät aufbewahren und den offiziellen Support kontaktieren, der einen Ersatz oder einen Gutschein für den Kauf eines neuen Geräts anbietet.
Trezor erinnert daran, dass sein Support nie nach der Wiederherstellungsphrase fragt. Der Hersteller warnt zudem vor gefälschten Nachrichten, die den Vorfall ausnutzen könnten.
Ledger, Trezor, Keystone: drei Warnungen in einem Monat
Die Trezor-Warnung folgt auf zwei weitere Fälle rund um Hardware-Wallets, über die 2clics im Oktober 2026 berichtet hat. Der erste betrifft Ledger, einen anderen Hersteller von Hardware-Wallets, dessen manipulierte Geräte von CryptoBilis verkauft wurden. Der zweite betrifft Keystone, einen Hersteller von Hardware-Wallets ohne Verbindung zur Schweizer Nachrichtenagentur Keystone-ATS.
| Hersteller | Worum es geht | Status | Gelder |
|---|---|---|---|
| Ledger | In echte Geräte eingebaute Komponenten, weiterverkauft in Südostasien | Von Ledger bestätigt, das von einem «lokalisierten Angriff auf den Vertrieb» spricht | 102 Millionen Dollar aus 324 Wallets abgezogen laut Bitquery per 15. Oktober, eine Zahl, die Ledger weder bestätigt noch bestreitet |
| Trezor | Ein mutmassliches Implantat in einem bei CryptoBilis gekauften Safe 5 | Meldung als glaubwürdig eingestuft, Laboranalyse ausstehend | Dem Hersteller kein Verlust gemeldet |
| Keystone | Diebstahl des Schlüssels, der die Geräte authentifiziert, nach einem Einbruch in den Onlineshop | Von Keystone am 26. Oktober 2026 bekanntgegeben | Gelder laut Keystone nicht gefährdet; 18'835 Geräte an Lager vernichtet |
Laut Ledger hat eine «hochorganisierte kriminelle Gruppe» echte Geräte geöffnet, um Komponenten einzubauen. Der Hersteller versichert, dass sein Chip, sein Betriebssystem und seine Server unversehrt geblieben sind. Bei Trezor ist derzeit nichts dergleichen erwiesen: eine einzige glaubwürdige Meldung, ohne Bestätigung im Labor.
Was Käufer in der Schweiz prüfen sollten
Keine der Quellen erwähnt ein betroffenes Trezor-Gerät in der Schweiz. CryptoBilis war als autorisierter Wiederverkäufer in Indonesien, Malaysia und auf den Philippinen tätig, gemäss den Informationen, die 2clics im Fall Ledger aufgegriffen hat. Nach heutigem Stand ist ein Käufer in der Schweiz nur betroffen, wenn sein Gerät von diesem Vertriebspartner stammt.
Der Kaufkanal
Die Herkunft des Bestands zählt ebenso wie der Name des Verkäufers. Die Anweisungen von Trezor betreffen nämlich auch die von CryptoBilis belieferten Geschäfte. Unsere Einschätzung: Ein Gerät, das gebraucht oder auf einem Marktplatz ohne bekannte Herkunft gekauft wurde, verdient dieselben Vorsichtsmassnahmen. Ledger gibt seinerseits an, dass seine Kontrollen in Geschäften und Lagern in Europa keine veränderte Einheit gefunden haben.
Siegel und Gehäuse
Eine scheinbar unversehrte Verpackung ist keine Entwarnung. Trezor rät davon ab, das Gehäuse zu wiegen oder zu öffnen: Nach Ansicht des Herstellers lässt sich mit solchen Prüfungen eine Manipulation nicht ausschliessen. Im Fall Ledger waren die manipulierten Geräte im Übrigen echte Geräte, die geöffnet und dann wieder in Umlauf gebracht wurden.
Die Echtheitsprüfung
Die Echtheitsprüfung erfolgt in der offiziellen App des Herstellers, nie auf einer per E-Mail erhaltenen Seite. Nach den Ledger-Implantaten ahmte eine Phishing-Kampagne genau diese Prüfung nach, um die 24 Wörter zu erbeuten, wie das Sicherheitsunternehmen SlowMist berichtet. Der Fall Keystone zeigt eine weitere Grenze: Mit dem gestohlenen Schlüssel könnte ein Klon den Test auf der offiziellen Website bestehen, erklärt Journal du Coin.
Für die Sicherheit eines Krypto-Wallets gilt eine Regel unabhängig vom Modell. Ledger formuliert sie so: Die Wiederherstellungsphrase wird nur auf dem Gerät eingegeben, nie auf einem Computer, einem Telefon oder einer Webseite. Weder Trezor noch Ledger fragen über ihren Support danach.
Was noch nicht bekannt ist
- Ob die Laboranalyse die vom Besitzer beschriebene zusätzliche Platine bestätigen wird.
- Wie viele Trezor-Geräte CryptoBilis seit März 2026 verkauft hat: Die Mitteilung nennt keine Zahl.
- Ob hinter den Vorfällen bei Ledger und Trezor dieselben Täter stehen: Trezor schreibt sie ihnen nicht zu.
- Ob die Echtheitsprüfung von Trezor eine zusätzliche Platine zwischen Hauptplatine und Bildschirm erkannt hätte: Die Mitteilung sagt dazu nichts.
- Ob manipulierte Trezor-Geräte ausserhalb Südostasiens in Umlauf gekommen sind.
Quellen
- Journal du Coin: « Wallet crypto : Trezor alerte sur un possible implant dans un appareil vendu par CryptoBilis », 30. Oktober 2026
- 2clics.com: « Ledger : une fausse mise à jour du firmware vise la phrase de récupération », 16. Oktober 2026
- 2clics.com: « Hardware wallet Keystone : clé d'authentification volée, clients exposés », 28. Oktober 2026
