Покупая холодный кошелек, вы рассчитываете на то, что он не подключен к интернету. Однако индонезийский покупатель, вскрыв свой Trezor, обнаружил внутри дополнительную плату с возможностью выхода в сеть. Он приобрел Safe 5 в августе на индонезийской платформе Tokopedia у юго-восточноазиатского дистрибьютора CryptoBilis. Получив устройство, он почувствовал, что вес не тот, и, вскрыв его, обнаружил между материнской платой и экраном дополнительную плату с модулем мобильной связи и антенной. По его словам, эта плата может считывать мнемоническую фразу, отображаемую на экране, и сразу же отправлять её через мобильную сеть при подключении к питанию. Устройство еще не отправлено производителю, и Trezor еще не провел проверку, но уже发布了 предупреждение: всем, кто покупал Trezor у CryptoBilis с марта этого года — независимо от модели — следует как можно скорее перевести свои средства на новый кошелек, созданный с использованием новой мнемонической фразы. Новые устройства будут отправлены производителем бесплатно. На данный момент никто не сообщил о потере средств. Однако кошельки являются самохранящимися, и производитель не видит балансов пользователей — отсутствие сообщений не означает отсутствие жертв. В прошлом месяце Ledger столкнулся с похожим инцидентом: преступная группа покупала подлинные устройства, устанавливала в них скрытые компоненты для кражи мнемонических фраз, а затем снова продавала их через дистрибьюторов в Юго-Восточной Азии. По оценкам Arkham, за три дня было украдено около 95 миллионов долларов США. В случае с Ledger продажи полностью приостановлены в шести странах Юго-Восточной Азии и Гонконге.