• Trezor menerima laporan dugaan implan pada Safe 5 pada 28 Oktober dan memperingatkan pelanggan pada 30 Oktober.

• Dompet yang dicurigai dibeli di Tokopedia, Indonesia, pada Agustus 2026.

• Trezor menghapus CryptoBilis dari jaringan reseller-nya pada 9 Oktober setelah Ledger mengonfirmasi adanya manipulasi.

Dugaan Implan pada Trezor Safe 5

Trezor meminta pelanggan yang membeli dompet perangkat keras dari mantan reseller-nya di Asia Tenggara, CryptoBilis, untuk memindahkan dana mereka setelah muncul laporan dugaan implan berbahaya di dalam perangkat Trezor Safe 5. Menurut pengumuman blog perusahaan pada 30 Oktober, laporan tersebut diterima pada 28 Oktober dan berkaitan dengan sebuah dompet yang dibeli melalui CryptoBilis di Tokopedia, Indonesia, pada bulan Agustus. Pembeli melaporkan menemukan papan sirkuit tambahan di antara papan utama perangkat dan layarnya, yang dilengkapi modul seluler dan antena. Berdasarkan deskripsi tersebut, perangkat keras itu dapat membaca semua yang ditampilkan di layar, termasuk frasa pemulihan yang dihasilkan saat penyiapan, lalu mengirimkannya melalui jaringan seluler setiap kali perangkat terhubung ke sumber daya. Siapa pun yang memiliki frasa tersebut dapat memulihkan dompet di perangkat lain dan menguras isinya tanpa unit aslinya. Trezor mengatakan telah meninjau foto dan mewawancarai pembeli melalui video, tetapi belum memeriksa perangkat secara langsung; tim keamanannya sedang mengatur analisis laboratorium. Perusahaan menilai laporan itu cukup kredibel untuk segera ditindaklanjuti. Siapa pun yang membeli model Trezor apa pun dari CryptoBilis sejak Maret 2026 disarankan untuk memindahkan aset ke dompet kripto baru yang dibuat dengan frasa pemulihan yang benar-benar baru. Mengimpor frasa yang terekspos ke perangkat lain tidak menghilangkan risiko apa pun, dan frasa tersebut pada dasarnya merupakan salinan kunci privat dompet yang dapat dibaca. Pembeli yang belum menyiapkan perangkat yang dibeli diminta untuk berhenti dan tidak pernah memasukkan frasa yang sudah ada. Sejauh ini, belum ada pelanggan yang melaporkan kehilangan dana. Trezor menawarkan perangkat pengganti atau voucher untuk membeli unit baru, meminta pembeli menyimpan perangkat keras mereka, dan memperingatkan bahwa penipu mungkin memanfaatkan insiden ini melalui email dan panggilan palsu. Trezor juga mengatakan bahwa membuka atau menimbang dompet tidak dapat mendeteksi manipulasi secara andal. Respons ini didukung oleh SEAL 911, layanan darurat Security Alliance.

Pembaruan (30 Okt 08:31 UTC): Detail tambahan dari pengungkapan tersebut menjelaskan bagaimana pengutak-atikan itu terungkap: pembeli menyadari adanya perbedaan bobot perangkat yang tidak biasa dan sudah mentransfer dana ke tempat lain sebelum menyadari bahwa komponennya mencurigakan.

Detail tambahan dari pengungkapan tersebut menjelaskan bagaimana pengutak-atikan itu terungkap: pembeli menyadari adanya perbedaan bobot perangkat yang tidak biasa dan sudah mentransfer dana ke tempat lain sebelum menyadari bahwa komponennya mencurigakan. Trezor, yang belum menerima perangkat tersebut, mengatakan bahwa implan itu diyakini berperilaku mirip dengan perangkat keras yang ditemukan dalam kasus Ledger yang telah dikonfirmasi. Trezor menambahkan bahwa belum ada pihak yang diidentifikasi sebagai penanggung jawab dan pihaknya menahan perbandingan antara kedua insiden sambil menunggu penyelidikan. Laporan tersebut disampaikan melalui saluran pengungkapan yang bertanggung jawab milik perusahaan. Bagi pembeli yang terdampak dan belum memiliki dompet perangkat keras yang aman, Trezor juga menguraikan opsi sementara untuk beralih ke dompet perangkat lunak atau bursa, serta menegaskan kembali bahwa staf dukungannya tidak akan pernah meminta frasa pemulihan.

Arkham Menelusuri Pencurian Senilai $95,35 Juta

CryptoBilis pernah menjadi pengecer resmi Trezor dan pesaing utamanya, Ledger, di seluruh Asia Tenggara, dan gerai yang sama menjadi pusat kasus pengutak-atikan yang telah dikonfirmasi. Pada 9 Oktober, Ledger mulai menyelidiki kerugian yang dialami pelanggan yang membeli dompetnya melalui pengecer tersebut, lalu mengonfirmasi bahwa komponen tidak resmi di dalam perangkat yang terdampak dapat menangkap frasa pemulihan yang ditampilkan saat penyiapan dan mengirimkannya keluar melalui koneksi LTE. Implan itu bekerja secara independen dari chip keamanan perangkat, sehingga penandatanganan transaksi normal tidak terpengaruh. Trezor menghapus CryptoBilis dari jaringan pengecernya pada hari yang sama dan meminta pelanggan mengirimkan perangkat untuk diperiksa; hingga 19 Oktober, perusahaan telah menerima empat unit, termasuk dua perangkat Safe 5, satu Safe 7, dan satu Safe 3, tanpa satu pun menunjukkan tanda-tanda pengutak-atikan fisik. Pengungkapan baru ini menyangkut Safe 5 terpisah yang tidak termasuk dalam pemeriksaan tersebut. Para penyelidik belum mengidentifikasi siapa yang memasang implan yang dicurigai atau apakah penyerang yang sama menargetkan kedua merek. Jejak keuangan terkait kasus Ledger cukup besar: pada 29 Oktober, Arkham Intelligence menelusuri dugaan pencurian senilai $95,35 juta di 1.486 alamat antara 7 dan 9 Oktober, dengan sekitar $10 juta dalam USDT dibekukan sementara dana curian terus berpindah melalui berbagai jaringan blockchain. Secara terpisah, polisi Singapura melaporkan kerugian sebesar S$3,5 juta dalam dua kasus yang melibatkan perangkat Ledger yang telah diutak-atik dan dibeli dari pengecer lokal. Trezor telah memperketat daftar pengecer resminya dan bekerja sama dengan Ledger serta pihak-pihak lain dalam penyelidikan. Perusahaan mengatakan sejauh ini belum menerima laporan yang terkait dengan pengecer lain, dan detail lebih lanjut akan disampaikan setelah hasil laboratorium tersedia.

Ulasan COINOTAG: kedua insiden menargetkan titik lemah yang sama, yaitu saat frasa pemulihan dibuat pada perangkat yang telah disusupi, bukan chip penandatanganan yang menjadi inti perangkat tersebut. Pintu belakang dalam rantai pasokan dapat melewati semua perlindungan pada perangkat karena rahasia keluar melalui layar. Karena itu, dompet dingin yang dibeli secara sah dari penjual yang belum terverifikasi tetap dapat mengecewakan pemiliknya. Keputusan Trezor untuk memperingatkan pelanggan sebelum hasil laboratorium dikonfirmasi didasarkan pada riwayat pengecer yang sama dengan kasus pengutak-atikan Ledger yang telah dikonfirmasi; batas waktu Maret 2026 merupakan langkah pencegahan, bukan bukti bahwa setiap unit yang dijual terdampak. Ada tiga hal yang perlu diperhatikan selanjutnya: pemeriksaan laboratorium atas Safe 5 yang dilaporkan, apakah penyelidik menghubungkan penyerang dengan kasus Ledger, dan apakah muncul pemberitahuan lebih lanjut mengenai pengecer regional. Pembaca yang sedang mempertimbangkan pilihan penyimpanan dapat terlebih dahulu meninjau cara kerja dompet perangkat keras sebelum memindahkan dana (per 08:31 UTC).