Der Hardware-Wallet-Hersteller Trezor warnt Käufer, die ein Gerät über den Händler CryptoBilis erworben haben. Anlass ist ein Hinweis auf ein mutmaßliches Hardware-Implantat in einer Trezor Safe 5: Ein Kunde aus Indonesien hat im Inneren seines Geräts eine zusätzliche Platine mit Mobilfunkmodul und Antenne entdeckt. Trezor hat das Gerät selbst noch nicht untersucht, stuft den Bericht aber als glaubwürdig ein und rät allen CryptoBilis-Kunden, die seit März 2026 ein Trezor-Gerät gekauft haben, ihre Coins vorsorglich in eine neue Wallet mit neuer Recovery-Phrase zu verschieben.
Der Fall knüpft an den Lieferkettenangriff auf Ledger-Geräte an, die über denselben Händler in Südostasien verkauft wurden. Wir fassen zusammen, was Trezor bestätigt, was bislang nur aus dem Bericht des Kunden stammt und was Betroffene jetzt tun sollten.
Key Takeaways
- Trezor erhielt am 28. Oktober 2026 über sein Responsible-Disclosure-Programm die Meldung eines Implantats in einer Trezor Safe 5, gekauft im August 2026 bei CryptoBilis über den Marktplatz Tokopedia.
- Laut dem Bericht sitzt zwischen Hauptplatine und Display eine zusätzliche Platine mit Mobilfunkmodul und Antenne. Sie soll den Bildschirminhalt samt Wallet-Backup auslesen und per Mobilfunk versenden. Trezor hat das noch nicht selbst geprüft.
- Bislang hat kein CryptoBilis-Kunde Trezor einen Verlust gemeldet. Der Melder hatte seine Coins bereits vorher abgezogen.
- Die Empfehlung gilt für alle Trezor-Modelle, die ab März 2026 über CryptoBilis gekauft wurden. Betroffene erhalten ein Ersatzgerät oder einen Gutschein.
- CryptoBilis ist seit dem 9. Oktober 2026 kein offizieller Trezor-Händler mehr.
Trezor Safe 5: was im Gerät gefunden wurde
In seinem Sicherheitshinweis vom 30. Oktober beschreibt Trezor die Meldung so: Zwischen der Hauptplatine und dem Bildschirm einer Trezor Safe 5 sei eine zusätzliche Leiterplatte eingebaut worden, ausgestattet mit einem Mobilfunkmodul und einer Antenne. Nach Darstellung des Kunden liest diese Platine mit, was das Display anzeigt, einschließlich des Wallet-Backups, also der Recovery-Phrase. Sobald das Gerät eingesteckt ist, soll sie diese Daten über ein Mobilfunknetz nach außen senden.
Trezor betont, diese Angaben noch nicht selbst verifiziert zu haben. Das Unternehmen hat den Bericht und Fotos erhalten, den Melder per Videoanruf befragt und organisiert nun den Versand des Geräts in sein Labor. Das Gesehene wirke ausgereift genug, um Kunden schon jetzt zu warnen. Auf eine Laborbestätigung zu warten, würde CryptoBilis-Käufer in der Zwischenzeit einem Risiko aussetzen. Das Implantat scheint nach Einschätzung von Trezor ähnlich zu funktionieren wie die bei Ledger-Geräten gefundenen.
Aufgefallen war die Manipulation, weil der Kunde einen Gewichtsunterschied bemerkte. Trezor rät allerdings ausdrücklich davon ab, das eigene Gerät zu wiegen oder zu öffnen. Wiegen sei kein verlässlicher Test, kleine Abweichungen könnten andere Ursachen haben. Eine zuverlässige Methode zur Selbstprüfung gebe es nicht.
Der Hintergrund: CryptoBilis und der Ledger-Fall
CryptoBilis war bis Oktober 2026 offizieller Händler für Trezor in Südostasien und gleichzeitig autorisierter Reseller von Ledger. Am 9. Oktober begann Ledger, Geldverluste bei Kunden zu untersuchen, die ihre Hardware-Wallets bei CryptoBilis gekauft hatten. Laut Trezor bestätigte Ledger später, dass einige dieser Geräte bei einem ausgefeilten Lieferkettenangriff physisch manipuliert worden waren. On-Chain-Analysten bezifferten den Schaden damals auf 86 bis 93 Millionen US-Dollar, wie wir im Bericht zum Ledger-Hardware-Wallet-Hack zusammengefasst haben.
Trezor entfernte CryptoBilis noch am 9. Oktober aus seinem Händlernetz und untersucht seitdem Kundengeräte. Zusätzlich hat der Hersteller die Zahl seiner autorisierten Verkäufer eingeschränkt. Das sei eine Vorsichtsmaßnahme gewesen, schreibt Trezor. Mit der aktuellen Meldung gebe es nun erstmals Hinweise darauf, dass auch ein einzelnes Trezor-Gerät von einem ähnlichen Angriff betroffen sein könnte.
Ob hinter beiden Fällen dieselben Täter stehen, lässt Trezor offen. Jeder Hersteller baue seine Geräte anders, deshalb wolle man keine Vergleiche ziehen, solange die Untersuchungen laufen. Wer verantwortlich ist, sei unbekannt. Trezor arbeitet nach eigenen Angaben mit Ledger und anderen Beteiligten zusammen sowie mit SEAL 911, dem Notfalldienst der Security Alliance für Krypto-Sicherheitsvorfälle.
Wer betroffen ist
Die Warnung richtet sich an alle, die ab März 2026 ein Trezor-Gerät von CryptoBilis gekauft haben, und zwar unabhängig vom Modell. Der Bericht betrifft zwar eine Trezor Safe 5, die Empfehlung gilt laut Trezor aber für jedes Trezor-Modell aus dieser Quelle. Eingeschlossen sind alle Shops, die von CryptoBilis beliefert wurden, darunter dessen Shop auf Tokopedia. Wer nicht sicher ist, woher sein Gerät stammt, soll den Händlernamen auf der Rechnung prüfen oder den Support kontaktieren.
Hinweise auf andere Händler oder Regionen liegen Trezor nach eigenen Angaben nicht vor. Für Käufer, die direkt bei Trezor oder bei anderen autorisierten Händlern bestellt haben, gibt es demnach bislang keine Hinweise auf eine Manipulation.
Was Käufer jetzt tun sollten
Trezor unterscheidet zwei Fälle:
- Gerät bereits in Benutzung: Coins so schnell wie möglich in eine neu erstellte Wallet mit einer neuen Recovery-Phrase übertragen. Das bestehende Wallet-Backup auf einem anderen Gerät einzuspielen, löst das Problem nicht, denn die Phrase selbst könnte abgeflossen sein.
- Gerät noch nicht eingerichtet: Nicht einrichten und niemals ein bestehendes Wallet-Backup darauf eingeben.
Wer gerade keine sichere Hardware-Wallet zur Verfügung hat, kann die Mittel laut Trezor vorübergehend in eine Software-Wallet oder auf eine vertraute Börse verschieben. Vor jeder Überweisung sollte die vollständige Empfangsadresse geprüft werden. Betroffene CryptoBilis-Kunden erhalten ein neues Gerät, das Trezor direkt verschickt, oder einen Gutschein in Höhe des Gerätepreises. Das alte Gerät sollen sie behalten und den Support kontaktieren.
Trezor warnt außerdem vor Folgebetrug: Kriminelle dürften den Vorfall für Phishing nutzen, etwa mit gefälschten E-Mails, Briefen oder Anrufen. Der Trezor-Support fragt niemals nach der Recovery-Phrase.
Einordnung: Die Lieferkette als Schwachstelle
Hardware-Wallets sollen private Schlüssel von internetverbundenen Geräten fernhalten. Der Fall zeigt die Grenze dieses Modells: Wenn ein Gerät auf dem Weg zum Kunden manipuliert wird, hilft die beste Firmware wenig, sofern die Manipulation einfach mitliest, was das Display anzeigt. Ein eingebautes Mobilfunkmodul umgeht zudem die Annahme, dass eine Wallet nur über den angeschlossenen Computer kommunizieren kann.
Daraus ergeben sich einfache Regeln, die in unserem Self-Custody-Guide zu Hardware-Wallets ebenfalls eine Rolle spielen: Geräte möglichst direkt beim Hersteller oder bei einem auf dessen Website gelisteten Händler kaufen, Marktplatz-Angebote meiden und bei Unklarheiten über die Herkunft lieber eine neue Wallet aufsetzen. Hinzu kommt, dass Hersteller ihre Händlernetze offenbar strenger kontrollieren müssen. Wie die Implantate in die Geräte gelangten, ob beim Händler selbst oder an anderer Stelle der Lieferkette, ist weiterhin nicht öffentlich geklärt.
Fazit
Noch ist das Implantat in der Trezor Safe 5 nicht im Labor bestätigt, und es gibt bisher keine gemeldeten Verluste. Trezor hat sich trotzdem für eine frühe Warnung entschieden, und das ist nachvollziehbar: Wer ein Gerät von CryptoBilis besitzt, verliert durch einen Umzug auf eine neue Wallet wenig, riskiert ohne ihn aber im schlimmsten Fall alles. Die Laboranalyse soll zeigen, ob der Bericht zutrifft und wie das Implantat genau arbeitet. Trezor will seinen Hinweis aktualisieren, sobald es neue Erkenntnisse oder Verlustmeldungen gibt.
