Pada 2023, Kaspersky mengungkap sebuah kasus yang menurut saya perlu diketahui semua orang yang membeli dompet perangkat keras: koin tetap dipindahkan meski perangkat tidak tersambung ke komputer. Masalahnya terjadi sebelum perangkat itu dibeli.
Korban membeli Trezor Model T di situs iklan baris barang bekas. Segel hologram antirusak pada kotak dan perangkat tampak utuh. Namun, setelah membongkarnya, Kaspersky menemukan bahwa casing direkatkan dengan lem dan selotip dua sisi, chip pengendalinya telah diganti dengan cara disolder, dan versi program boot-nya tidak pernah dirilis secara resmi.
Firmware yang sudah dimodifikasi itu melakukan tiga hal: menghapus verifikasi tanda tangan sehingga tidak ada peringatan saat dinyalakan; saat inisialisasi atau reset, mengganti frasa pemulihan yang dibuat secara acak dengan salah satu dari 20 frasa yang sudah tersimpan di firmware; dan jika kata sandi tambahan diatur, hanya menggunakan karakter pertamanya. Jadi, reset pun tidak bisa keluar dari 20 frasa itu, dan penyerang sudah mengetahui kunci privat sejak awal. Catatan transaksi menunjukkan bahwa mereka menunggu sebulan sebelum beraksi.
Trezor mengonfirmasi bahwa ini adalah modifikasi oleh pihak ketiga dan mengatakan serangan rantai pasokan ini terjadi lebih dari setahun sebelum artikel tersebut diterbitkan. Ini bukan kasus Trezor asli diretas dari jarak jauh, dan bukan pula kerentanan baru.
Saya tidak akan menilai keamanan hanya dari segel antirusak. Segel yang masih utuh bukan berarti chip dan firmware di dalamnya tidak pernah diubah. Dalam penjelasan resmi Trezor disebutkan bahwa perangkat mereka dikirim tanpa firmware dan tanpa frasa pemulihan bawaan. Jika perangkat baru sudah terpasang firmware, segera hubungi layanan pelanggan resmi. Ini adalah kebijakan Trezor sendiri terkait perangkat dari pabrik; merek lain belum tentu menerapkan hal yang sama, jadi periksa penjelasan resmi masing-masing.
Saran utama dari Kaspersky dan Trezor sama-sama adalah membeli melalui kanal resmi dan tidak mengabaikan peringatan pada perangkat. Saya sendiri tidak akan menyimpan uang di dompet perangkat keras bekas yang asal-usulnya tidak jelas.