Produsen dompet kripto perangkat keras (hardware wallet) Trezor mengungkap dugaan pemasangan perangkat pengintai pada salah satu Trezor Safe 5 yang dibeli seorang pelanggan di Indonesia melalui marketplace Tokopedia.
Perangkat tersebut dilaporkan memiliki komponen elektronik tambahan yang diduga mampu mencuri informasi sensitif, termasuk recovery phrase atau frasa pemulihan yang digunakan untuk mengakses aset kripto.
Dalam pengumuman resminya pada Jumat (30/10/2026), Trezor menyebut laporan itu diterima pada 28 Oktober melalui program pengungkapan kerentanan keamanan.
Dompet kripto tersebut diketahui dibeli pada Agustus 2026 dari CryptoBilis, yang sebelumnya merupakan reseller resmi Trezor untuk kawasan Asia Tenggara.
Meski belum memeriksa perangkat secara langsung di laboratorium, Trezor menganggap laporan tersebut kredibel berdasarkan keterangan pelanggan, dokumentasi foto, serta wawancara melalui panggilan video.
Modul Selular Diduga Bisa Mencuri Recovery Phrase
Berdasarkan laporan pelanggan, perangkat Trezor Safe 5 tersebut diduga telah dimodifikasi dengan pemasangan papan sirkuit tambahan di antara papan utama dan layar perangkat.
Komponen itu dilaporkan dilengkapi modul komunikasi seluler dan antena, yang memungkinkan informasi pada layar dibaca dan dikirimkan melalui jaringan selular ketika perangkat terhubung ke sumber daya.
Informasi yang berpotensi disadap mencakup recovery phrase, yaitu rangkaian kata rahasia yang menjadi kunci untuk memulihkan akses ke dompet kripto.
Apabila informasi tersebut berhasil diperoleh pihak tidak bertanggung jawab, mereka berpotensi memulihkan dompet pada perangkat lain dan menguasai aset korban tanpa memerlukan akses fisik ke perangkat aslinya.
Namun demikian, Trezor menegaskan bahwa kemampuan perangkat tambahan tersebut masih berdasarkan laporan pelanggan dan belum diverifikasi secara independen oleh tim keamanannya.
Pelanggan yang melaporkan temuan ini sebelumnya menyadari adanya perbedaan berat pada perangkatnya. Meski begitu, Trezor mengingatkan bahwa pemeriksaan berat bukan metode yang dapat diandalkan untuk memastikan apakah sebuah hardware wallet telah dimodifikasi.
Perusahaan juga menyatakan belum menerima laporan kehilangan dana dari pelanggan CryptoBilis terkait dugaan insiden tersebut. Pelapor diketahui telah memindahkan asetnya sebelum menemukan komponen mencurigakan.
Trezor Putus Hubungan dengan CryptoBilis
Kasus ini muncul di tengah penyelidikan terhadap dugaan serangan pada rantai pasok hardware wallet yang melibatkan CryptoBilis.
Pada 9 Oktober 2026, Ledger mulai menyelidiki laporan kehilangan aset dari pengguna perangkat yang dibeli melalui reseller tersebut. Penyelidikan berikutnya mengonfirmasi adanya modifikasi fisik pada sejumlah perangkat Ledger.
Trezor kemudian mencabut status CryptoBilis sebagai reseller resminya pada tanggal yang sama sebagai langkah pencegahan.
Temuan terbaru pada Trezor Safe 5 menunjukkan kemungkinan bahwa ancaman serupa turut menyasar perangkat dari produsen lain melalui jalur distribusi yang sama.
Kendati demikian, Trezor belum memastikan apakah dugaan modifikasi pada perangkatnya berkaitan langsung dengan pihak yang melakukan serangan terhadap perangkat Ledger.
Perusahaan juga belum mengetahui siapa yang bertanggung jawab atas pemasangan komponen tersebut maupun pada tahap mana modifikasi dilakukan.
Hingga pengumuman diterbitkan, Trezor menyatakan belum menerima laporan mengenai perangkat bermasalah dari reseller lainnya.
Pembeli Sejak Maret 2026 Diminta Segera Mengamankan Aset
Sebagai langkah pencegahan, Trezor meminta seluruh pelanggan yang membeli perangkatnya melalui CryptoBilis sejak Maret 2026 untuk segera memindahkan aset ke dompet baru dengan recovery phrase yang benar-benar baru.
Peringatan tersebut berlaku untuk seluruh model Trezor yang berasal dari CryptoBilis, bukan hanya Safe 5.
Perusahaan menegaskan bahwa memindahkan recovery phrase lama ke perangkat baru tidak cukup untuk menghilangkan risiko apabila frasa tersebut sebelumnya telah diketahui pihak lain.
Sementara itu, pembeli yang belum mengaktifkan perangkat diminta tidak melakukan proses pengaturan awal ataupun memasukkan recovery phrase yang telah mereka miliki.
Trezor turut menawarkan penggantian perangkat atau voucher pembelian baru bagi pelanggan yang terdampak. Pengguna diminta menyimpan perangkat lama dan menghubungi layanan dukungan resmi untuk mengatur proses penggantian.
Perusahaan juga memperingatkan potensi penipuan lanjutan melalui email, surat, atau panggilan telepon yang mengatasnamakan tim dukungan Trezor.
Trezor menegaskan bahwa tim dukungannya tidak pernah meminta recovery phrase pelanggan dalam kondisi apa pun.
Insiden ini kembali menyoroti risiko keamanan rantai pasok perangkat penyimpanan aset kripto, terutama ketika perangkat yang secara desain ditujukan untuk melindungi kunci pribadi justru berpotensi dimodifikasi sebelum sampai ke tangan pengguna.
Itulah rangkuman berita kripto hari ini yang bisa kamu simak untuk mengikuti perkembangan dunia aset digital dan teknologi blockchain. Tetap pantau Blockchain Media Indonesia untuk update terbaru seputar pasar kripto, berita bitcoin, hingga panduan belajar crypto untuk kamu yang masih pemula. [st]
Disclaimer: Konten di Blockchainmedia.id hanya bersifat informatif, bukan nasihat investasi atau hukum. Segala keputusan finansial sepenuhnya tanggung jawab pembaca.