Produsen dompet keras kripto Trezor mengumumkan bahwa tiga unit Trezor Safe 5 yang dipesan melalui mitra pengecer CryptoBilis terbukti disusupi perangkat keras tambahan berbahaya. Modul sirkuit tersembunyi yang ditanamkan secara ilegal tersebut memiliki kemampuan untuk mencuri dan menggandakan seluruh recovery phrase milik pengguna.
Komponen selundupan ini bekerja dengan membaca deretan frasa rahasia yang tertera pada layar dompet fisik, lalu mentransmisikannya lewat jaringan telekomunikasi seluler ke server yang dikendalikan peretas. Pihak manajemen telah memeriksa satu unit fisik di laboratorium internal mereka, serta mengonfirmasi status dua unit lainnya melalui bukti foto yang dikirimkan pemiliknya. Hingga saat ini, belum ada laporan kehilangan saldo aset.
Pembaruan firmware versi 2.13.1 yang diluncurkan awal pekan ini secara efektif mencegah komponen selundupan menyadap data penting pada perangkat yang telah diperbarui. Namun, Trezor mengingatkan bahwa pembaruan sistem ini tidak mampu mengamankan cadangan data dompet yang informasinya telah terlanjur tersadap sebelum pembaruan diaplikasikan.
Perusahaan tidak mengubah imbauan keamanannya bagi siapapun yang membeli produk Trezor melalui CryptoBilis sejak bulan Maret, termasuk pembeli yang bertransaksi lewat etalase resmi toko daring pengecer tersebut di Tokopedia maupun Shopee. Berdasarkan catatan pembaruan resmi, firmware versi 2.13.1 ini dirilis serentak untuk lini Safe 7, Safe 5, Safe 3, dan Model T. Dalam pernyataan mengenai investigasi, Trezor menegaskan tidak akan membeberkan rincian teknis mendalam yang berpotensi dimanfaatkan penyerang atau membahayakan keamanan pelanggan.
Tim teknisi perusahaan telah mengekstraksi dan meneliti kode firmware dari komponen tambahan pada unit pertama yang dilaporkan. Modul asing tersebut diselipkan di antara papan sirkuit utama dan layar display Safe 5 tanpa mengubah konfigurasi asli pada unit perangkat, termasuk firmware inti maupun chip Secure Element bawaan.
Perangkat modifikasi berbahaya tersebut menyalin recovery phrase ketika layar menampilkan kata sandi selama proses pencadangan awal, maupun saat pemilik mengetikkan frasa untuk memulihkan dompet lama. Sirkuit ilegal ini juga menyalin passphrase apabila kode keamanan ekstra itu terpampang di layar. Data yang didapat langsung dienkripsi sebelum dikirimkan. Jika jaringan gagal tersambung, modul akan menahan data di memori internal lalu mencoba mengirimkannya kembali berulang kali sampai berhasil.
Perusahaan pertama kali memublikasikan peringatan resmi terkait dugaan penyusupan perangkat keras pada 30 Oktober, berselang dua hari setelah seorang konsumen melayangkan aduan awal dan sebelum tim laboratorium menerima unit terkait untuk diteliti.
CryptoBilis sebelumnya beroperasi sebagai mitra penjual resmi terverifikasi bagi kawasan Asia Tenggara sampai akhirnya diputus pada 9 Oktober. Langkah pemutusan hubungan kerja sama tersebut diambil pada hari ketika Ledger mulai mengusut raibnya dana sejumlah nasabah yang berbelanja dari reseller bersangkutan.
Ledger kemudian mengonfirmasi keberadaan komponen asing ilegal yang ditanamkan ke dalam perangkat yang dipasarkan distributor tersebut. Kelompok penyerang memodifikasi unit asli buatan Ledger dengan komponen tersembunyi untuk membajak frasa pemulihan selama proses pengaturan awal, lalu menguras seluruh saldo aset korban dalam aksi pencurian yang terkoordinasi.
Trezor menyatakan perangkat keras tambahan yang ditemukan di unitnya bekerja memakai prinsip operasional yang identik dengan kasus Ledger, yang disesuaikan khusus dengan tata letak layar Safe 5. Namun, perusahaan belum menyebutkan pihak mana yang bertanggung jawab menanamkan komponen itu atau di titik rantai pasok mana manipulasi terjadi.
Ketiga unit dompet yang teridentifikasi tersebut dibeli pelanggan antara tanggal 20 Agustus hingga 23 September. Sejauh ini, Trezor hanya menemukan komponen manipulasi ilegal pada varian Safe 5 yang didistribusikan oleh CryptoBilis, dan tidak menemukan indikasi serupa pada produk dari mitra reseller lain maupun lini model lainnya.
Menyusul rentetan laporan pada bulan Oktober, Trezor meminta para pelanggan yang membeli unit dari distributor tersebut segera menghubungi mereka, dan kini tercatat 48 konsumen telah melapor. Pabrikan sedang memeriksa keaslian perangkat melalui pengujian fisik di fasilitas laboratorium maupun verifikasi foto bagian dalam sirkuit, namun belum merilis jumlah pasti unit yang selesai diperiksa.
Perusahaan memastikan ketiga pemilik unit yang terkonfirmasi disusupi komponen asing tidak mengalami kerugian finansial. Mengingat arsitektur dompet Trezor mengusung prinsip self-custodial murni, perusahaan sama sekali tidak memiliki akses untuk melihat maupun memantau jumlah saldo aset milik penggunanya.
Manajemen Trezor mengonfirmasi telah memangkas jaringan rantai distributornya hingga mencapai sekitar 80 persen, termasuk menghentikan kemitraan dengan sejumlah pihak tepercaya yang tidak menimbulkan ancaman langsung namun dinilai belum memenuhi kualifikasi standar baru yang jauh lebih ketat. Kebijakan ini diumumkan perdana pada 13 Oktober lewat unggahan di platform X, lebih dari dua pekan sebelum laporan perdana kasus penyusupan modul mencuat.
Melalui surat edaran resmi kepada mitra pada hari tersebut, Trezor memberitahukan kepada distributor yang diputus bahwa mereka tidak akan menerima pasokan unit baru lagi, diizinkan menjual sisa stok inventaris hingga batas waktu 1 Januari 2027, dan selanjutnya akan dihapus sepenuhnya dari daftar pengecer resmi.
Proses investigasi komprehensif saat ini masih terus bergulir. Manajemen berjanji akan segera menerbitkan pembaruan publik apabila kembali menemukan bukti penyusupan komponen di luar unit Safe 5 atau di luar distributor terkait, menerima laporan kehilangan dana yang berkaitan langsung, atau meluncurkan protokol proteksi keamanan baru.
