Produsen dompet keras kripto terkemuka, Trezor, secara resmi mengimbau para pengguna yang membeli perangkat dari mantan distributor resmi CryptoBilis sejak Maret 2026 untuk segera memindahkan seluruh aset kripto mereka. Langkah darurat ini diumumkan pada Jumat (30/10/2026) menyusul laporan kredibel mengenai temuan modifikasi fisik berupa chip ilegal (hardware implant) di dalam perangkat Trezor Safe 5 yang dibeli melalui marketplace Tokopedia di Indonesia. Modifikasi perangkat keras tersebut dilaporkan mampu merekam kata pemulihan (recovery seed phrase) yang muncul pada layar dan mentransmisikannya langsung ke pihak peretas melalui jaringan seluler tersembunyi.
Temuan Papan Sirkuit Ilegal pada Trezor Safe 5 di Indonesia
Insiden ini pertama kali dilaporkan oleh seorang pembeli di Indonesia melalui program pengungkapan kerentanan (responsible disclosure) Trezor pada 28 Oktober 2026. Pengguna tersebut menemukan kejanggalan fisik pada perangkat Trezor Safe 5 yang dibeli dari toko resmi CryptoBilis di platform e-commerce Tokopedia pada Agustus 2026. Meskipun pihak pabrikan belum menerima unit fisik tersebut secara langsung di laboratorium pengujian mereka, manajemen Trezor memutuskan untuk langsung menerbitkan peringatan keamanan publik guna mencegah potensi pembobolan dana investor.
Chief Commercial Officer Trezor, Danny Sanders, menegaskan bahwa perusahaan mengambil langkah proaktif demi melindungi pengguna. "Kami memang belum memegang perangkat tersebut di laboratorium kami, namun kami memperlakukan laporan ini sebagai informasi yang sangat kredibel. Kami memilih untuk memperingatkan publik sekarang daripada menunggu konfirmasi formal sementara di sisi lain ada pengguna yang kehilangan dananya," ujar Danny Sanders kepada media kripto global pada Jumat.
Juru bicara Trezor mengungkapkan bahwa volume penjualan Safe 5 melalui distributor CryptoBilis berada dalam skala yang relatif terbatas. Kendati demikian, Trezor mengakui belum mengetahui secara pasti titik mana dalam rantai pasok distribusi yang disusupi pelaku untuk memasang perangkat mata-mata tersebut. Hingga saat ini, Trezor menyatakan belum menerima laporan kehilangan dana langsung dari para pembeli CryptoBilis.
Modus Operandi: Penyadapan Layar via Modul Seluler Tanpa Merusak Firmware
Berdasarkan investigasi awal dan dokumentasi wawancara video, modifikasi berbahaya tersebut berupa papan sirkuit tambahan (extra circuit board) yang disisipkan secara rapi di antara papan utama (motherboard) perangkat dan layar tampilan Safe 5. Papan sirkuit ilegal ini dilengkapi dengan modul transmisi seluler mandiri serta antena miniatur. Sirkuit ini dirancang untuk menyala dan aktif secara otomatis setiap kali perangkat keras dompet dihubungkan ke sumber daya atau komputer pengguna.
Karakteristik serangan ini tergolong sangat canggih karena tidak mengubah atau merusak integritas firmware resmi Trezor. Alih-alih meretas sistem operasi perangkat, modul tersembunyi ini bertindak sebagai penyadap visual pasif yang langsung membaca sinyal data yang dikirimkan ke layar perangkat. Ketika pengguna melakukan inisialisasi awal dan mencatat seed phrase pemulihan 12 atau 24 kata, modul seluler tersebut langsung memancarkan data teks rahasia tersebut ke server penyerang tanpa memicu peringatan keamanan pada perangkat lunak Trezor Suite.
Dengan mengantongi seed phrase korban, peretas dapat dengan mudah merekonstruksi dompet kripto di perangkat lain dari jarak jauh dan menguras seluruh kepemilikan Bitcoin, Ethereum, maupun token lainnya kapan saja tanpa perlu menyentuh fisik perangkat korban lagi.
Rentetan Serangan Rantai Pasok Reseller dan Panduan Mitigasi Pengguna
Peringatan keras terhadap CryptoBilis ini kian mempertegas kerentanan rantai pasok (supply chain attack) yang melanda industri perangkat keras kripto. Sebelumnya pada 9 Oktober 2026, vendor hardware wallet Ledger juga mengonfirmasi adanya temuan hardware implant serupa pada unit yang dijual oleh CryptoBilis, yang memicu kerugian hingga US$2,7 juta (sekitar Rp42 miliar) bagi sejumlah investor di Singapura. Pakar keamanan perangkat keras Joe Grand sebelumnya juga telah mengingatkan bahwa segel holografik dan kemasan pabrik tidak lagi memadai untuk menjamin keaslian perangkat jika distributor perantara telah disusupi secara fisik.
Sebagai respons strategis, Trezor telah memangkas jaringan authorized reseller global sejak pertengahan Oktober 2026 dan memperketat protokol pengiriman langsung dari pabrik utama. Pihak Trezor mendesak siapa pun yang membeli unit Safe 5, Model T, maupun Trezor One dari CryptoBilis sejak Maret 2026 untuk tidak lagi menggunakan perangkat tersebut dalam kondisi terhubung ke komputer atau listrik.
Pengguna diinstruksikan untuk segera mentransfer seluruh saldo aset ke dompet alternatif yang aman menggunakan seed phrase baru yang dibuat dari perangkat yang terverifikasi bersih. Trezor juga menyarankan pemilik perangkat terdampak untuk menghubungi tim dukungan resmi guna prosedur investigasi forensik dan penggantian unit resmi.
