הלקוח באינדונזיה קנה ארנק קריפטו מדגם Trezor Safe 5 באוגוסט, דרך Tokopedia, אתר קנייה גדול שם. לפי תיאורו הוא פתח את המכשיר ומצא בין המסך ללוח הראשי לוח אלקטרוני נוסף, עם מודול סלולרי ואנטנה. Trezor עדיין לא בדקה את המכשיר במעבדה, ובכל זאת פרסמה ב-30 באוקטובר אזהרה לכל מי שקנה ממנה דרך אותו מפיץ מאז מרץ 2026.

מה קרה

ארנק חומרה הוא מכשיר קטן שכל תפקידו לשמור את המפתח לחשבון הקריפטו שלכם מחוץ למחשב ולטלפון. בהתקנה הראשונה הוא מגריל רשימה של 12 או 24 מילים ומציג אותן על המסך הזעיר שלו, פעם אחת. מי שמחזיק את המילים האלה מחזיק בפועל את הכסף, ולכן הן אמורות לעבור רק דרך העיניים שלכם ואל פנקס ששמור אצלכם בבית.

לפי התיאור של הלקוח, שעוד לא אומת, הלוח שהוא צילם קורא את מה שמוצג על המסך, כולל אותן מילות שחזור, ושולח את זה הלאה ברשת סלולרית בכל פעם שהמכשיר מחובר לחשמל. Trezor אומרת שקיבלה ממנו תמונות ותיאור, קיימה איתו שיחת וידאו, והמכשיר כבר בדרך למעבדה שלה. בחברה החליטו לא לחכות לתוצאות: לדבריהם, המתנה לאישור מהמעבדה תשאיר את קוני CryptoBilis חשופים בינתיים.

שם המפיץ הזה כבר הופיע כאן: בכתבה מה-12 באוקטובר על שתל חומרה שנמצא בארנק Ledger שנקנה דרכו, ואחריה על האישור של Ledger ועצירת המכירות בשבע מדינות. Trezor הפסיקה למכור דרכו ב-9 באוקטובר, לפני שהיה לה סימן שגם מכשירים שלה מעורבים. אף לקוח של המפיץ לא דיווח לה על כסף שנגנב, אבל היא גם לא רואה מה מוחזק בארנקים של לקוחותיה, כך שזה לא אומר הרבה. הודעה של משטרת סינגפור הוסיפה לאחרונה 3.5 מיליון דולר לסך ההפסדים בפרשת Ledger.

למה זה חשוב לכם

CryptoBilis מכר בדרום-מזרח אסיה, כך שהסיכוי שארנק ישראלי עבר דרכו קטן. מה שכן, הלקוח קנה מכשיר חדש באריזה סגורה דרך אתר קנייה גדול ומוכר, וזה בדיוק המצב של כל מי שמזמין ארנק חומרה ממוכר צד שלישי באמזון, מ-AliExpress או מיד שנייה. האריזה הסגורה לא מוכיחה כלום, והשאלה המעניינת היא מי החזיק את המכשיר בין המפעל לדלת שלכם. Trezor גם מבקשת לא לנסות לבדוק לבד: אותו לקוח שם לב להבדל קטן במשקל, אבל לדברי החברה שקילה אינה בדיקה אמינה.

מה עושים?

קנו ארנק חומרה רק מהחנות של היצרן עצמו, או ממפיץ שמופיע ברשימה הרשמית באתר היצרן. לא ממוכר צד שלישי בזירת מכירות, ולא יד שנייה.

מילות השחזור צריכות להיגרל על המכשיר מול העיניים שלכם, בהתקנה. אם המכשיר הגיע עם מילים כתובות מראש על כרטיס או על פתק, זו הונאה, בלי יוצא מן הכלל.

קניתם ממקור לא ברור וכבר התקנתם? פתחו ארנק חדש עם מילות שחזור חדשות על מכשיר שאתם סומכים עליו, והעבירו לשם את הכסף. שחזור של אותן מילים על מכשיר אחר לא עוזר, כי המילים עצמן הן מה שאולי דלף.

היו מוכנים לגל הודעות מזויפות סביב הסיפור. Trezor עצמה מזהירה מפני מיילים, מכתבים ושיחות טלפון שיתחזו אליה בימים הקרובים, ושום נציג של יצרן ארנקים לא מבקש את מילות השחזור, בשום תרחיש.

המכשיר שאמור לשמור על המילים הוא גם היחיד שרואה אותן. לכן כל מי שהחזיק אותו בדרך מהמפעל אליכם הוא חלק ממודל האיום, גם אם האריזה הגיעה סגורה.