Trezor, produttore di portafogli hardware per criptovalute, ha annunciato il 30 ottobre 2026 di stare esaminando la segnalazione di un impianto nascosto in un Trezor Safe 5. Il dispositivo era stato acquistato nell'agosto 2026 presso CryptoBilis, ex rivenditore autorizzato nel Sud-est asiatico. Il produttore ritiene il rapporto credibile, ma attende il dispositivo per confermarlo in laboratorio. Non gli è stata segnalata alcuna perdita di fondi.
Una segnalazione credibile, non ancora confermata
Secondo il comunicato di Trezor, ripreso da Journal du Coin, il suo team di sicurezza ha ricevuto il rapporto il 28 ottobre 2026. È arrivato tramite il programma di divulgazione responsabile del produttore.
Il proprietario descrive una scheda elettronica aggiunta tra la scheda principale e lo schermo. Essa conterrebbe un modulo cellulare e un'antenna. Stando alla sua testimonianza, questo dispositivo leggerebbe ciò che viene visualizzato, compresa la frase di recupero. La invierebbe poi tramite la rete mobile quando l'apparecchio è collegato.
Trezor dispone di fotografie e ha interrogato il cliente in videoconferenza. Solo l'analisi in laboratorio permetterà tuttavia di confermare questi elementi. Il cliente aveva già spostato i suoi fondi prima di scoprire il presunto impianto.
Il produttore afferma di aver esaminato altri quattro dispositivi provenienti da CryptoBilis, senza rilevarvi manipolazioni. È in contatto con Ledger e con SEAL 911, unità di intervento d'urgenza della comunità cripto. Non attribuisce però gli incidenti agli stessi autori.
Mark Karpelès, ex dirigente di Mt. Gox, ha rilanciato l'allerta. Propone di coprire le spese di spedizione di dispositivi sospetti per farli analizzare. Questa offerta non sostituisce l'esame atteso da Trezor.
Quali dispositivi Trezor sono interessati?
Per precauzione, le istruzioni riguardano tutti i modelli Trezor acquistati presso CryptoBilis da marzo 2026. Valgono anche per i negozi che questo distributore riforniva. Il Safe 5 segnalato era stato acquistato su Tokopedia, piattaforma di commercio online indonesiana. Trezor aveva escluso CryptoBilis dalla sua rete di rivenditori autorizzati il 9 ottobre 2026.
Per questi dispositivi, il produttore fornisce quattro istruzioni:
- Dispositivo già utilizzato: trasferire rapidamente i fondi verso un portafoglio appena creato, con una nuova frase di recupero. Ripristinare la vecchia frase su un altro dispositivo non basta se è stata intercettata.
- Nessun altro hardware wallet affidabile: passare temporaneamente da un portafoglio software o da una piattaforma di scambio conosciuta dall'utente. L'indirizzo di ricezione va verificato per intero prima del trasferimento.
- Dispositivo ancora nuovo: non configurarlo e non inserirvi alcuna frase esistente.
- In tutti i casi: conservare il dispositivo e contattare il supporto ufficiale, che propone una sostituzione o un buono che copre l'acquisto di un nuovo dispositivo.
Trezor ricorda che la sua assistenza non chiede mai la frase di recupero. Mette inoltre in guardia contro falsi messaggi che sfrutterebbero l'incidente.
Ledger, Trezor, Keystone: tre allerte in un mese
L'allerta di Trezor segue altri due casi di portafogli hardware, che 2clics ha seguito nell'ottobre 2026. Il primo riguarda Ledger, altro produttore di portafogli hardware, di cui dispositivi manomessi sono stati venduti da CryptoBilis. Il secondo riguarda Keystone, produttore di hardware wallet senza legami con l'agenzia di stampa svizzera Keystone-ATS.
| Produttore | Cosa è in causa | Stato | Fondi |
|---|---|---|---|
| Ledger | Componenti innestati in dispositivi autentici, rivenduti nel Sud-est asiatico | Confermato da Ledger, che parla di un «attacco localizzato sulla distribuzione» | 102 milioni di dollari sottratti da 324 wallet secondo Bitquery al 15 ottobre, cifra né confermata né contestata da Ledger |
| Trezor | Un presunto impianto in un Safe 5 acquistato presso CryptoBilis | Segnalazione ritenuta credibile, analisi in laboratorio attesa | Nessuna perdita segnalata al produttore |
| Keystone | Furto della chiave che autentica i dispositivi, dopo un'intrusione nel negozio online | Annunciato da Keystone il 26 ottobre 2026 | Fondi non esposti secondo Keystone; 18'835 dispositivi in magazzino distrutti |
Secondo Ledger, un «gruppo criminale molto organizzato» ha aperto dispositivi autentici per aggiungervi componenti. Il produttore afferma che il suo chip, il suo sistema operativo e i suoi server sono rimasti intatti. Nel caso di Trezor, nulla di simile è accertato in questa fase: una sola segnalazione credibile, senza conferma di laboratorio.
Cosa deve verificare l'acquirente in Svizzera
Nessuna delle fonti menziona dispositivi Trezor colpiti in Svizzera. CryptoBilis operava come rivenditore autorizzato in Indonesia, in Malesia e nelle Filippine, secondo le informazioni riprese da 2clics nel caso Ledger. Allo stato attuale, un acquirente in Svizzera è interessato solo se il suo dispositivo proviene da questo distributore.
Il canale d'acquisto
L'origine dello stock conta quanto il nome del venditore. Le istruzioni di Trezor riguardano infatti anche i negozi riforniti da CryptoBilis. La nostra analisi: un dispositivo acquistato di seconda mano o su un marketplace, senza provenienza nota, merita le stesse precauzioni. Ledger indica dal canto suo che i suoi controlli nei negozi e nei magazzini in Europa non hanno trovato alcuna unità modificata.
I sigilli e l'involucro
Un imballaggio apparentemente intatto non basta a rassicurare. Trezor sconsiglia di pesare o di aprire l'involucro: a suo dire, queste verifiche non permettono di escludere un'alterazione. Nel caso Ledger, del resto, i dispositivi manomessi erano dispositivi autentici, aperti e poi rimessi in circolazione.
Il controllo di autenticità
Il controllo di autenticità si effettua nell'applicazione ufficiale del produttore, mai su una pagina ricevuta per e-mail. Dopo gli impianti Ledger, una campagna di phishing imitava proprio questo controllo per chiedere le 24 parole, secondo la società di sicurezza SlowMist. Il caso Keystone mostra un altro limite: con la chiave rubata, un clone potrebbe superare il test del sito ufficiale, spiega Journal du Coin.
Per la sicurezza di un portafoglio cripto, una regola vale indipendentemente dal modello. Ledger la formula così: la frase di recupero si inserisce solo sul dispositivo, mai su un computer, un telefono o una pagina web. Né Trezor né Ledger la chiedono tramite il loro supporto.
Cosa non si sa ancora
- Se l'analisi in laboratorio confermerà la scheda aggiunta descritta dal proprietario.
- Quanti dispositivi Trezor CryptoBilis abbia venduto da marzo 2026: il comunicato non fornisce alcuna cifra.
- Se gli incidenti Ledger e Trezor abbiano gli stessi autori: Trezor non li attribuisce loro.
- Se il controllo di autenticità di Trezor avrebbe individuato una scheda aggiunta tra la scheda principale e lo schermo: il comunicato non ne dice nulla.
- Se dispositivi Trezor modificati abbiano circolato al di fuori del Sud-est asiatico.
Fonti
- Journal du Coin: «Wallet crypto : Trezor alerte sur un possible implant dans un appareil vendu par CryptoBilis», 30 ottobre 2026
- 2clics.com: «Ledger : une fausse mise à jour du firmware vise la phrase de récupération», 16 ottobre 2026
- 2clics.com: «Hardware wallet Keystone : clé d'authentification volée, clients exposés», 28 ottobre 2026
