Trezor memperingatkan para pelanggan yang membeli dompet hardware dari CryptoBilis pada atau setelah Maret 2026 agar segera memindahkan dana mereka ke dompet baru yang dibuat dengan seed baru. Peringatan ini muncul setelah beredar laporan mengenai kemungkinan adanya implan perangkat keras di dalam sebuah Trezor Safe 5, yang diduga merupakan bagian dari serangan rantai pasok (supply chain attack) yang canggih.
Implan Sirkuit Tambahan dan Modul Seluler
CryptoBilis sebelumnya merupakan reseller resmi Trezor di Asia Tenggara hingga Oktober 2026. Perusahaan kini menilai laporan tersebut kredibel, meskipun perangkatnya belum diterima untuk mengonfirmasi temuan secara laboratorium. Persoalan ini pertama kali mencuat pada 9 Oktober, ketika Ledger mulai menyelidiki laporan kerugian dana di kalangan pelanggan yang membeli dompet hardware dari CryptoBilis. Ledger kemudian mengonfirmasi bahwa sejumlah perangkat telah dimodifikasi secara fisik dalam sebuah serangan rantai pasok yang sophisticated.
Karena CryptoBilis juga merupakan reseller resmi Trezor, Trezor mencabut perusahaan tersebut dari daftar penjual resminya pada hari yang sama dan mulai menyelidiki perangkat pelanggan. Pada 28 Oktober, tim keamanan Trezor menerima pengungkapan yang bertanggung jawab (responsible disclosure) dari seorang pelanggan di Indonesia yang membeli Trezor Safe 5 melalui Tokopedia pada Agustus 2026. Menurut laporan tersebut, sebuah sirkuit tambahan telah dipasang di dalam perangkat, di antara papan utama dan layar, yang berisi modul seluler dan antena.
Laporan itu menyebutkan bahwa implan tersebut dapat membaca apa pun yang tampil di layar, termasuk cadangan dompet (wallet backup), dan mengirimkan informasi itu melalui jaringan seluler setiap kali perangkat dicolokkan. Trezor telah menerima foto-foto dan mewawancarai pelanggan melalui panggilan video, tetapi perangkat tersebut belum tiba di laboratorium mereka untuk diperiksa.
Peringatan Dini dan Langkah Penyelamatan Dana
Trezor menyatakan memilih memperingatkan pelanggan daripada menunggu konfirmasi laboratorium, karena hal itu dapat membuat pembeli terdampak semakin rentan. Bagi mereka yang sudah menggunakan perangkat terdampak, Trezor menegaskan bahwa sekadar memakai cadangan dompet dari perangkat yang berpotensi dimodifikasi ke dompet hardware lain tidak akan menyelesaikan masalah.
Jika dompet hardware yang aman tidak tersedia, pelanggan dapat sementara memindahkan dana ke dompet perangkat lunak (software wallet) atau ke bursa (exchange) yang mereka kenal, sambil memeriksa dengan cermat alamat penerima secara penuh sebelum mengirim apa pun. Bagi yang belum menyiapkan perangkatnya, Trezor meminta agar perangkat tidak digunakan dan tidak memasukkan cadangan dompet yang sudah ada ke dalamnya.
Produsen dompet hardware itu juga memperingatkan bahwa penipu dapat memanfaatkan insiden ini untuk melancarkan serangan phishing melalui email, surat, dan panggilan telepon palsu. Semua pelanggan yang membeli dari CryptoBilis pada periode terdampak berhak atas penggantian Trezor yang dikirim langsung oleh perusahaan atau voucher yang menutup biaya perangkat baru. Pelanggan diminta menyimpan perangkat CryptoBilis mereka dan menghubungi Trezor Support untuk mengatur penggantian tersebut.
Belum Ada Dana Dicuri dan Kasus Ledger di Singapura
Sejauh ini belum ada laporan dana yang dicuri, dan pelanggan yang menemukan implan tersebut telah memindahkan dananya sebelum menemukannya. Trezor juga menambahkan bahwa pihaknya tidak mengetahui siapa yang berada di balik serangan ini dan belum menerima laporan yang melibatkan reseller atau wilayah lain.
Kekhawatiran atas keamanan dompet hardware memang tengah meningkat. Pada pekan ini, Singapore Police Force mengungkapkan bahwa pengguna kripto dilaporkan kehilangan sekitar 3,5 juta dolar AS setelah menggunakan perangkat Ledger yang telah dimodifikasi. Otoritas mengonfirmasi setidaknya dua kasus sejak 10 September. Investigasi awal menemukan bahwa sejumlah dompet yang dijual melalui toko ritel lokal mengandung komponen berbahaya yang mampu mencuri recovery phrase atau private key, sehingga penyerang dapat mengakses dana dan mentransfernya tanpa persetujuan pengguna.
