Los ingenieros de Trezor, tras una investigación iniciada con una denuncia de un cliente en octubre, confirmaron en laboratorio la presencia de circuitos adicionales instalados entre la placa principal y la pantalla en tres unidades Safe 5 compradas por CryptoBilis entre el 20 de agosto y el 23 de septiembre de 2026.

Los chips maliciosos capturaban y cifraban las palabras de recuperación y expresiones de transacción cuando aparecían en la pantalla, enviándolas a un servidor de atacante a través de redes móviles; en caso de pérdida de conexión, almacenaban los datos y reintentaban la transmisión.

La placa original del dispositivo y el Secure Element no fueron modificados.