Trezorのエンジニアらは、10月に顧客からの報告を受けて調査を開始し、2026年8月20日から9月23日の間にCryptoBilis経由で販売された3台のSafe 5デバイスにおいて、メイン基板と画面の間に挿入された追加の回路基板をラボ環境で確認した。

これらのインプラントは、ウォレットのリカバリーフレーズやパスフレーズが画面に表示されるとそれらを取得・暗号化し、モバイル網経由で攻撃者のサーバーへ送信していた。接続がない場合はデータを保存し、再送信を試みていた。

デバイスのオリジナルファームウェアおよびセキュアエレメントは改変されていなかった。