Trezor mengeluarkan peringatan pada 30 Oktober 2026 kepada pembeli dompet kripto perangkat keras yang dipasok reseller CryptoBilis. Pemicunya laporan seorang pelanggan di Indonesia yang membeli Trezor Safe 5 pada Agustus 2026 lewat toko CryptoBilis di Tokopedia. Ia menemukan papan sirkuit tambahan di dalam perangkat itu. Trezor menyebut laporan tersebut kredibel, tetapi belum memverifikasinya di laboratorium.
Apa yang dilaporkan pelanggan
Menurut laporan itu, papan tambahan berada di antara papan utama dan layar, lengkap dengan modul seluler dan antena. Papan tersebut diduga membaca isi layar, termasuk frasa pemulihan (recovery phrase), lalu mengirimkannya setiap kali perangkat tersambung ke daya. Pelanggan itu memindahkan dananya sebelum menemukan papan tersebut. Trezor menerima laporan pada 28 Oktober, mewawancarai pelapor lewat panggilan video, dan sedang mengatur pengiriman perangkat ke laboratoriumnya.
Trezor belum tahu siapa pelakunya. Perusahaan juga belum menerima laporan dana hilang dari pembeli CryptoBilis, dan per 30 Oktober tidak ada laporan yang melibatkan reseller lain. Trezor memutus CryptoBilis dari jaringan reseller resminya di Asia Tenggara pada 9 Oktober, setelah Ledger mulai menyelidiki kerugian pelanggannya yang membeli dari toko yang sama. Polisi Singapura pada 28 Oktober juga memperingatkan soal komponen berbahaya di dompet Ledger yang dijual di beberapa toko ritel di sana. CryptoBilis, lewat pembaruan yang dikutip dalam unggahan Trezor, mengaku mengetahui satu kasus implan lewat pengungkapan bertanggung jawab dan belum menerima laporan kehilangan dana.
Siapa yang perlu waspada
Laporan hanya menyebut Safe 5. Namun saran Trezor mencakup semua model Trezor yang dibeli dari CryptoBilis sejak Maret 2026, termasuk lewat toko lain yang menjual stok pasokan CryptoBilis. Cakupan seluas itu bersifat kehati-hatian. Belum ada bukti bahwa model lain terdampak.
Langkah yang dianjurkan Trezor
Bila Anda sudah memakai dompet itu, buat dompet baru dengan frasa pemulihan baru, lalu pindahkan dana secepatnya. Memulihkan frasa lama di perangkat lain tidak menolong, sebab frasa itu mungkin sudah terkirim. Jika belum punya dompet perangkat keras lain yang aman, Trezor menyarankan sementara memakai dompet perangkat lunak yang Anda kenal atau bursa tepercaya, dengan memeriksa alamat penerima secara lengkap sebelum transfer.
Bila perangkat belum disiapkan, jangan atur dan jangan pernah memasukkan frasa pemulihan yang sudah ada. Simpan perangkatnya, lalu hubungi Trezor Support untuk meminta unit pengganti atau voucher. Trezor juga meminta pembeli tidak membongkar atau menimbang perangkat untuk menguji, karena kedua cara itu bukan uji yang andal bagi konsumen. Periksa nama penjual di bukti pembelian bila ragu. Waspadai juga surel, surat, atau telepon penipuan yang memanfaatkan kasus ini.
Bagi pembaca di Indonesia, intinya sederhana: dompet perangkat keras yang dibeli dari reseller tidak resmi atau lewat marketplace perlu dianggap berisiko sampai asal-usulnya jelas. Trezor menunggu hasil laboratorium, jadi rincian teknis bisa berubah.
Sumber: The Hacker News dan CyberInsider. Gambar: CyberInsider.