Setelah menerima laporan pada 28 Oktober 2026 tentang dugaan implan perangkat keras di perangkat Trezor, perusahaan kini menyarankan siapa pun yang membeli dompet dari CryptoBilis sejak Maret 2026 untuk memindahkan dana mereka ke tempat lain. Laporan tersebut berkaitan dengan Safe 5 yang dibeli melalui Tokopedia pada Agustus 2026. Trezor menganggap laporan itu dapat dipercaya, tetapi belum memeriksa perangkat tersebut; belum ada pembeli CryptoBilis yang melaporkan kehilangan dana kepada perusahaan.
Hal-hal penting
Implan yang dicurigai tersebut dilaporkan merekam cadangan dompet dan mengirimkannya melalui jaringan seluler.
Tindakan pencegahan Trezor mencakup semua model yang dipasok oleh CryptoBilis sejak Maret 2026.
Pelanggan yang memenuhi syarat dapat menerima perangkat pengganti atau voucher.
Perangkat yang dilaporkan tersebut sedang menunggu pemeriksaan laboratorium.
Isi dugaan implan perangkat keras Trezor
Menurut laporan pelanggan, sebuah papan sirkuit tambahan dipasang di antara papan utama dan layar Safe 5, dilengkapi modul seluler dan antena; perangkat tersebut diduga menangkap informasi yang ditampilkan di layar—termasuk cadangan dompet—dan mengirimkannya melalui jaringan seluler setiap kali perangkat dicolokkan.
Laporan tersebut berasal dari seorang pelanggan di Indonesia yang mengirimkannya melalui program pengungkapan kerentanan yang bertanggung jawab milik Trezor. Tim keamanan meninjau foto dan berbicara dengan pelanggan melalui panggilan video sebelum mengeluarkan peringatan.
Sebelum mengetahui adanya perangkat keras tambahan, pelanggan tersebut telah menarik dananya dari perangkat itu. Trezor menyatakan tidak ada bukti yang menghubungkan kerugian dana pelanggan dengan dugaan implan tersebut, meskipun perusahaan mencatat bahwa dompet kustodi mandiri miliknya membuat Trezor tidak dapat melihat saldo pelanggan.
CryptoBilis dicoret setelah laporan manipulasi perangkat Ledger
CryptoBilis adalah penjual resmi Trezor dan Ledger di Asia Tenggara hingga Oktober 2026. Ledger mulai menyelidiki kerugian dana pelanggan pada 9 Oktober 2026, lalu mengonfirmasi adanya manipulasi fisik pada beberapa perangkat yang dijual oleh penjual tersebut sebagai bagian dari serangan rantai pasokan.
Trezor mencoret CryptoBilis dari jaringan penjual resminya pada 9 Oktober dan mulai memeriksa perangkat pelanggan. Sebagai tindakan pencegahan, Trezor juga membatasi jaringan penjual resminya.
Hingga 19 Oktober, Trezor telah memeriksa empat dompet yang dipasok oleh CryptoBilis—dua unit Safe 5, satu Safe 7, dan satu Safe 3—dan tidak satu pun menunjukkan tanda manipulasi fisik. Safe 5 yang ditandai pada 28 Oktober bukan bagian dari kelompok perangkat yang diperiksa tersebut.
Peringatan Trezor mencakup perangkat yang dipasok oleh CryptoBilis, termasuk yang dijual melalui toko Tokopedia dan toko lain yang menjual persediaannya. Trezor melaporkan tidak ada kasus yang melibatkan penjual lain atau wilayah lain. Pelanggan dapat memeriksa nama penjual pada tanda terima atau menghubungi Dukungan untuk mengetahui asal perangkat mereka.
Pelanggan diminta menggunakan dompet baru dan frasa pemulihan baru
Trezor menyarankan siapa pun yang menyimpan dana di perangkat Trezor yang dibeli dari CryptoBilis sejak Maret 2026 untuk segera memindahkan dana tersebut ke dompet baru yang dibuat dengan frasa pemulihan baru. Memulihkan cadangan yang sudah ada di perangkat lain tidak mengatasi risiko terbukanya cadangan tersebut.
Pelanggan yang tidak memiliki dompet perangkat keras aman lainnya dapat menggunakan dompet perangkat lunak yang biasa digunakan atau bursa untuk sementara. Trezor menyarankan agar alamat penerima diperiksa secara lengkap sebelum memindahkan dana.
Pembeli yang belum mengonfigurasi perangkatnya sebaiknya tidak menggunakannya dan jangan pernah memasukkan cadangan dompet yang sudah ada ke perangkat tersebut.
Pelanggan yang memenuhi syarat dapat menerima perangkat pengganti yang dikirim langsung oleh Trezor atau voucher untuk membeli perangkat baru. Mereka harus menyimpan perangkat keras CryptoBilis dan menghubungi Dukungan untuk mengatur penggantian.
Trezor juga memperingatkan bahwa penipu dapat memanfaatkan insiden ini melalui email palsu, surat fisik, dan panggilan telepon. Pelanggan tidak boleh membagikan frasa pemulihan mereka; Dukungan Trezor tidak akan pernah memintanya.
Pemeriksaan laboratorium adalah langkah berikutnya
Tim keamanan Trezor sedang mengatur penerimaan perangkat untuk dianalisis di laboratorium guna memeriksa dugaan implan perangkat keras. Perusahaan mengatakan bahwa deskripsi, foto, dan wawancara video dengan pelanggan cukup meyakinkan untuk membenarkan pemberian peringatan kepada pembeli sebelum verifikasi fisik dilakukan.
Trezor menyarankan agar perangkat tidak dibuka atau ditimbang untuk memeriksa kemungkinan manipulasi. Meskipun pelanggan yang melaporkan masalah tersebut melihat adanya perbedaan berat, perusahaan mengatakan bahwa timbangan tidak dapat memastikan ataupun menyingkirkan kemungkinan modifikasi secara andal.
Ledger dan pihak-pihak lain berkoordinasi dengan Trezor sebagai bagian dari penyelidikan. SEAL 911, layanan tanggap darurat Security Alliance untuk insiden keamanan kripto, juga bekerja sama dengan Trezor untuk memberikan saran mengenai dukungan bagi pelanggan yang terdampak. Trezor mengatakan tim keamanannya akan memeriksa perangkat yang dilaporkan begitu perangkat tersebut tiba.
Artikel ini dibuat dengan bantuan kecerdasan buatan dan ditinjau oleh tim editorial.