Trezor mengeluarkan peringatan pada 30 Oktober 2026 soal dugaan implan perangkat keras di dompet kripto Trezor Safe 5. Pelapornya seorang pelanggan di Indonesia yang membeli perangkat itu pada Agustus 2026 lewat Tokopedia dari CryptoBilis, reseller resmi Trezor di Asia Tenggara hingga Oktober 2026. Trezor menerima laporan tersebut pada 28 Oktober dan belum memeriksa perangkatnya.
Apa yang dilaporkan
Menurut laporan pelanggan itu, ada papan sirkuit tambahan di antara papan utama dan layar. Papan tersebut disebut membawa modul seluler dan antena, dan diduga membaca isi layar, termasuk cadangan dompet (recovery phrase), lalu mengirimkannya lewat jaringan seluler ketika perangkat tersambung. Trezor menyatakan belum memverifikasi klaim ini. Perusahaan itu memegang foto serta hasil wawancara video dengan pelapor, dan perangkatnya sedang dikirim ke laboratorium Trezor. Meski begitu, Trezor memperlakukan laporan ini sebagai kredibel dan memilih memperingatkan pembeli lebih dulu.
Trezor memutus kerja sama dengan CryptoBilis pada 9 Oktober 2026, hari yang sama Ledger mulai menyelidiki kerugian pelanggannya yang membeli dari reseller itu. Ledger kemudian menyatakan sebagian perangkat memang diutak-atik secara fisik. Trezor belum menyebut apakah kedua kasus dilakukan pelaku yang sama. Belum ada laporan kehilangan dana ke Trezor, tetapi perusahaan mengakui tidak bisa melihat saldo pengguna karena dompetnya dipegang sendiri oleh pemilik. Pelapor sendiri sudah memindahkan dananya sebelum menemukan papan itu. Trezor juga mengaku tidak menerima laporan serupa dari reseller atau wilayah lain.
Langkah yang perlu diambil pembaca
Peringatan Trezor mencakup siapa pun yang membeli perangkat dari CryptoBilis sejak Maret 2026, termasuk lewat toko yang menjual stoknya. Jika perangkat itu sudah dipakai, Trezor menyarankan memindahkan dana secepatnya ke dompet baru dengan recovery phrase baru. Memulihkan phrase lama di perangkat lain tidak menyelesaikan masalah, sebab phrase itu mungkin sudah terkirim. Bila belum punya dompet perangkat keras yang aman, dana bisa sementara disimpan di dompet perangkat lunak atau bursa tepercaya, dengan memeriksa alamat penerima secara lengkap sebelum mengirim.
Jika perangkat belum disiapkan, jangan menyiapkannya dan jangan memasukkan recovery phrase yang sudah ada ke dalamnya. Simpan perangkat itu, lalu hubungi Trezor Support, yang menawarkan perangkat pengganti atau voucher bagi pembeli yang memenuhi syarat. Trezor juga mengingatkan bahwa timnya tidak pernah meminta recovery phrase, dan penipuan lewat surel, surat, atau telepon yang memanfaatkan insiden ini patut diwaspadai. Pelapor sempat merasakan perbedaan bobot perangkat, tetapi Trezor menegaskan itu bukan tes yang andal, jadi jangan membongkar sendiri.
Mengapa ini relevan di Indonesia
Kasus ini menyangkut rantai pasokan, bukan celah perangkat lunak, sehingga tambalan tidak membantu. Pembeli di Indonesia yang mengambil dompet kripto dari lapak marketplace perlu mengecek nama penjual di struk dan membandingkannya dengan daftar reseller resmi di situs produsen. Untuk konteks risiko aset kripto yang lebih luas, lihat juga liputan kami tentang dugaan peretasan hot wallet Binance. Selama lab Trezor belum mengonfirmasi, status temuan ini tetap laporan satu pelanggan, tetapi langkah pindah dana murah dilakukan dibanding risiko kehilangan seluruh isi dompet.
Sumber: Trezor dan The Hacker News. Gambar: Trezor.