Produsen hardware wallet kripto Trezor memastikan bahwa sejumlah perangkat dompet crypto yang dipasarkan melalui Tokopedia telah disusupi komponen elektronik berbahaya. Temuan tersebut mengungkap ancaman pencurian aset kripto melalui perangkat fisik yang telah dimodifikasi sebelum sampai ke tangan pembeli.
Berdasarkan laporan investigasi resmi Trezor yang diterbitkan pada Kamis (12/11/2026), perusahaan mengonfirmasi keberadaan papan sirkuit tambahan atau hardware implant pada tiga perangkat Trezor Safe 5.
Ketiga perangkat itu dibeli antara 20 Agustus hingga 23 September 2026 melalui reseller CryptoBilis, termasuk kanal penjualannya di Tokopedia dan Shopee, serta pembelian langsung dari reseller tersebut.
Temuan terbaru ini sekaligus memperkuat peringatan awal Trezor pada 30 Oktober, ketika perusahaan baru menerima laporan mengenai satu perangkat mencurigakan yang dibeli seorang pelanggan di Indonesia melalui Tokopedia.
Tiga Dompet Crypto Terbukti Disusupi Komponen Berbahaya
Dalam perkembangan investigasi yang juga disampaikan melalui akun resmi Trezor di media sosial, perusahaan mengungkapkan bahwa sebanyak 48 pelanggan yang membeli perangkat dari CryptoBilis telah menghubungi timnya.
Trezor kemudian melakukan pemeriksaan terhadap perangkat yang diterima di laboratorium maupun melalui foto bagian dalam perangkat yang dikirimkan pelanggan.
Hasilnya, tiga perangkat Safe 5 teridentifikasi mengandung papan sirkuit tambahan yang tidak seharusnya berada di dalam produk tersebut.
Salah satu perangkat merupakan unit yang kali pertama dilaporkan pada Oktober dan telah diperiksa langsung di laboratorium Trezor. Sementara itu, dua perangkat lainnya diidentifikasi berdasarkan dokumentasi foto dari pemiliknya.
Meski demikian, perusahaan menegaskan bahwa sejauh ini belum ditemukan perangkat bermasalah dari reseller lain maupun model Trezor selain Safe 5.
Temuan tersebut belum membuktikan bahwa seluruh dompet crypto yang dijual melalui Tokopedia atau Shopee mengalami manipulasi serupa. Kasus yang telah terkonfirmasi masih berkaitan dengan jalur distribusi CryptoBilis.
Chip Tersembunyi Bisa Mencuri Recovery Phrase
Aspek paling mengkhawatirkan dari kasus ini terletak pada kemampuan komponen tambahan tersebut untuk mengambil informasi sensitif tanpa harus mengubah firmware asli perangkat.
Menurut hasil pemeriksaan teknis Trezor, papan sirkuit berbahaya itu dipasang di antara motherboard dan layar Trezor Safe 5.
Komponen tersebut dirancang untuk menyalin informasi yang muncul pada layar, termasuk kata-kata pemulihan dompet atau recovery phrase ketika pengguna membuat dompet baru maupun memulihkan dompet lama.
Implan itu juga mampu merekam passphrase apabila informasi tersebut ditampilkan pada layar perangkat.
Data yang berhasil dikumpulkan kemudian dienkripsi dan dikirimkan melalui jaringan selular menuju server yang dikendalikan penyerang.
Apabila koneksi seluler tidak tersedia, informasi tersebut tetap disimpan dan perangkat akan mencoba mengirimkannya kembali ketika jaringan memungkinkan.
Cara kerja ini sangat berbahaya karena recovery phrase merupakan informasi utama yang dapat digunakan untuk memulihkan akses terhadap dompet crypto.
Dengan memperoleh informasi tersebut, pihak tidak berwenang berpotensi mengakses aset pengguna tanpa harus memiliki perangkat fisiknya.
Menariknya, Trezor mengungkapkan bahwa implan tersebut tidak memodifikasi firmware asli maupun komponen Secure Element. Artinya, perangkat dapat tetap terlihat berfungsi normal ketika digunakan.
Kendati ancamannya serius, Trezor menyampaikan bahwa belum ada laporan kehilangan dana yang dikaitkan dengan perangkat-perangkat bermasalah tersebut.
“Tidak ada nasabah yang melaporkan kehilangan dana,” demikian pernyataan resmi Trezor.
Trezor Pangkas 80 Persen Reseller dan Rilis Pembaruan Keamanan
Menanggapi hasil investigasi tersebut, Trezor mengambil langkah besar dengan memangkas sekitar 80 persen jaringan reseller resminya.
Perusahaan menjelaskan bahwa para mitra yang dikeluarkan dari jaringan bukan berarti terbukti melakukan pelanggaran. Keputusan itu merupakan bagian dari penerapan standar pengamanan rantai pasokan yang lebih ketat.
Kebijakan baru mencakup pengawasan terhadap sumber pengadaan perangkat, penyimpanan barang, serta pihak-pihak yang memiliki akses terhadap produk sebelum diterima pelanggan.
Trezor sendiri telah menghentikan status CryptoBilis sebagai reseller resmi sejak 9 Oktober 2026, menyusul laporan perangkat Ledger yang dimodifikasi dan dijual melalui jalur distribusi yang sama.
Selain memperketat distribusi, Trezor juga merilis firmware versi 2.13.1 pada 11 November 2026. Tanggal peluncuran tersebut tercatat dalam riwayat pembaruan firmware resmi perusahaan.
Menurut Trezor, pembaruan tersebut mampu menghentikan aktivitas pengambilan data oleh jenis implan yang telah ditemukan dalam investigasi.
Namun, perusahaan mengingatkan bahwa pembaruan firmware tidak dapat mengembalikan keamanan recovery phrase yang mungkin sudah dicuri sebelum pembaruan dipasang.
Karena itu, pembeli perangkat dari CryptoBilis tetap diminta memindahkan seluruh aset ke dompet baru yang menggunakan recovery phrase berbeda.
Pembeli Trezor dari CryptoBilis Bisa Meminta Penggantian
Trezor juga menyediakan program penggantian perangkat bagi pelanggan yang membeli hardware wallet melalui CryptoBilis sejak Maret 2026.
Kebijakan tersebut berlaku untuk pembelian dari reseller bersangkutan, bukan hanya tiga perangkat yang sudah terbukti mengandung implan.
Perusahaan menyatakan pelanggan yang memenuhi persyaratan dapat memperoleh perangkat pengganti. Apabila pengiriman model tertentu terkendala aturan di negara tujuan, Trezor dapat menawarkan model alternatif, pengiriman ke negara lain, atau pengembalian dana.
Pelanggan diminta menyimpan perangkat lama dan menghubungi layanan dukungan resmi Trezor untuk mengatur proses penggantian.
Sementara itu, pengguna yang memiliki perangkat mencurigakan dan belum menggunakannya disarankan untuk tidak melakukan pengaturan awal atau memasukkan recovery phrase apa pun.
Trezor juga meminta pelanggan mewaspadai upaya penipuan yang mengatasnamakan program penggantian perangkat, terutama pihak yang meminta recovery phrase pengguna.
Perusahaan menegaskan bahwa hingga saat ini belum ada kasus serupa yang terkonfirmasi di luar CryptoBilis.
“Kami tidak memiliki kasus yang terkonfirmasi di luar CryptoBilis,” tulis Trezor dalam laporan investigasinya.
Investigasi masih berlangsung, termasuk melalui kerja sama dengan layanan respons keamanan SEAL 911 dari Security Alliance.
Kasus ini menjadi pengingat bahwa keamanan dompet crypto tidak hanya bergantung pada teknologi enkripsi atau perlindungan firmware, tetapi juga pada integritas perangkat fisik dan jalur distribusinya sebelum sampai ke tangan pengguna.
Itulah rangkuman berita kripto hari ini yang bisa kamu simak untuk mengikuti perkembangan dunia aset digital dan teknologi blockchain. Tetap pantau Blockchain Media Indonesia untuk update terbaru seputar pasar kripto, berita bitcoin, hingga panduan belajar crypto untuk kamu yang masih pemula. [st]
Disclaimer: Konten di Blockchainmedia.id hanya bersifat informatif, bukan nasihat investasi atau hukum. Segala keputusan finansial sepenuhnya tanggung jawab pembaca.