ハードウェアウォレット大手のトレザー（Trezor）は12日、販売店クリプトビリス（CryptoBilis）で購入された「トレザー・セーフ5（Trezor Safe 5）」3台に、画面の表示を盗み取る不正部品が組み込まれていたと公表した。これまでの調査では、不正部品は8月から9月にクリプトビリスで購入されたセーフ5に限られ、他の販売店や他のモデルでは確認されていないという。
調査にあたり、同社は10月の報告を受けてクリプトビリスの購入者に連絡を求め、これまでに48人から連絡があり、端末の検査や内部写真の確認を進めている。不正部品が見つかったのは、8月20日から9月23日にかけて、通販サイトのトコペディア（Tokopedia）とショッピー（Shopee）にあるクリプトビリスの店舗、および同店の直販で購入された3台で、所有者の資金流出はない。
対策として、同社は11日、確認した不正部品が更新後の端末で情報を取得できないようにするファームウェア2.13.1を公開した。ただ、更新前に取得されたウォレットのバックアップは保護できないため、クリプトビリスの購入者には新しいリカバリーフレーズ（シードフレーズ）で作ったウォレットへ資金を移すよう求めている。
10月に報告された端末の不正部品を同社が解析したところ、不正部品はメイン基板と画面の間に取り付けられた追加基板で、ハードウェアウォレットのレジャー（Ledger）の端末で見つかったものと同じ仕組みで動作し、セーフ5の画面に合わせて作られていた。画面の表示と入力内容を複製し、リカバリーフレーズやパスフレーズが表示されると保存して暗号化したうえ、携帯回線で攻撃者の管理するサーバーへ送る仕組みだった。
同社は販売店網も約80%削減し、削減した店は信頼でき差し迫った脅威もなかったが、供給網を守るための厳格な新基準に合わなかったと説明した。残る全販売店には、端末の調達や保管の方法、端末にアクセスできる人などを対象とした厳しい運用基準が課される。
このほか同社は、仮想通貨のセキュリティ事故に対応する緊急窓口SEAL 911と連携して顧客の保護を進めており、攻撃に悪用されうる技術的な詳細は公表しない方針だという。
