Il cliente se ne è accorto dal peso. Dentro un Trezor Safe 5 comprato ad agosto su Tokopedia, tra la scheda principale e lo schermo, c’era un circuito in più, con un modulo cellulare e un’antenna. Secondo chi lo ha segnalato, legge quello che appare sul display — compresa la frase di recupero — e lo trasmette sulla rete mobile ogni volta che il dispositivo è collegato.

Trezor ha ricevuto la segnalazione il 28 ottobre, ha intervistato il cliente in videochiamata, non ha ancora il dispositivo in laboratorio. Ha deciso lo stesso di avvisare tutti.

Perché avvisare prima di aver visto

«Abbiamo preferito avvisare adesso che aspettare la conferma e scoprire nel frattempo che qualcuno ha perso i fondi», ha detto il chief commercial officer Danny Sanders. L’azienda ha anche precisato che nessun acquirente CryptoBilis le ha riferito perdite, e che il cliente che ha segnalato l’impianto aveva già spostato i fondi prima di accorgersene.

L’avviso copre ogni modello Trezor comprato dal rivenditore da marzo 2026 in poi. Chi ha già usato il dispositivo deve creare un wallet nuovo con una frase nuova; ripristinare la vecchia frase su un altro dispositivo non risolve.

Prima Ledger, stesso rivenditore

CryptoBilis era rivenditore autorizzato in Indonesia, Malesia e Filippine. Ledger ha aperto un’indagine il 9 ottobre e ha poi confermato la presenza di un impianto non autorizzato in un dispositivo colpito. Le stime delle perdite vengono dagli analisti on-chain, non dall’azienda: tra 72 e 93 milioni di dollari secondo Specter e tanuki42, circa 87 milioni seguiti da Arkham. Il 28 ottobre la polizia di Singapore ha diffuso un avviso su wallet Ledger manomessi comprati in negozi del paese.

Trezor ha rimosso CryptoBilis dalla propria rete il 9 ottobre, lo stesso giorno in cui Ledger ha fermato le vendite del rivenditore.

La difesa guardava altrove

I controlli che un hardware wallet fa al primo avvio cercano firmware modificato e dispositivi contraffatti. Questo impianto non tocca il firmware: legge i pixel. Un portavoce Trezor ha ammesso che i sigilli e la confezione, da soli, non bastano. La crittografia del dispositivo è rimasta intatta; è stata aggirata guardando lo schermo.

Cosa resta da fare

Chi ha comprato da CryptoBilis da marzo 2026 e non ha ancora configurato il dispositivo non deve farlo, e non deve digitargli sopra una frase esistente. Chi lo usa deve spostare tutto su un wallet nuovo, controllando l’indirizzo di ricezione per intero. Trezor spedisce un dispositivo sostitutivo o un voucher a chi ne fa richiesta tramite l’assistenza. E il rischio immediato dopo simili notizie non è tecnico: sono le finte email, le lettere e le telefonate di chi si offre di recuperare i fondi.

L’autocustodia viene raccontata come la rinuncia a fidarsi di qualcuno. In realtà sposta la fiducia su una catena di mani — fabbrica, corriere, rivenditore, sportello — che nessun utente vede e che nessuna firma crittografica copre.

Fonti verificate: Trezor, «Implant reported in a Trezor sold by CryptoBilis» (blog ufficiale, 30 ottobre 2026: segnalazione del 28 ottobre, dispositivo Safe 5 comprato ad agosto su Tokopedia, dati tecnici dell’impianto, istruzioni e sostituzioni); Cointelegraph, «Trezor warns CryptoBilis buyers over suspected wallet implant», 30 ottobre 2026 (dichiarazione di Danny Sanders, quadro Ledger); The Block, «Trezor reports suspected hardware implant in Safe 5 sold by CryptoBilis», 30 ottobre 2026; Decrypt, 30 ottobre 2026; Crypto Briefing, «Ledger investigates wallet tampering tied to tens of millions in crypto thefts», 10 ottobre 2026 (stime Specter, tanuki42, Arkham); DeFiPrime, «Singapore police warn of tampered Ledger hardware wallets», 29 ottobre 2026.