Trezor Safe 5 dari CryptoBilis Diduga Disusupi Alat Mata-Mata, Pembeli di Indonesia Diminta Pindah Dana

Trezor meminta semua pembeli perangkatnya dari reseller CryptoBilis sejak Maret 2026 untuk segera memindahkan dana ke dompet baru dengan frasa pemulihan yang benar-benar baru. Peringatan itu keluar pada 30 Oktober 2026, setelah seorang pelanggan di Indonesia melaporkan satu unit Trezor Safe 5 yang diduga berisi alat penyadap di dalamnya.

Perangkat itu dibeli pada Agustus 2026 lewat toko CryptoBilis di Tokopedia. Yang membuat kasus ini serius bukan cuma isi laporannya, melainkan jalurnya: CryptoBilis adalah reseller yang sama dengan yang sudah lebih dulu tersangkut kasus perangkat Ledger yang dimodifikasi, kasus yang pernah dibedah memecoin.id pada 11 Oktober 2026. Bedanya, untuk Trezor kali ini statusnya masih laporan yang dinilai kredibel, bukan temuan laboratorium. Perbedaan itu penting, dan artikel ini akan menjaganya sampai akhir.

Apa yang diduga ditemukan di dalam dompet itu

Menurut laporan pelanggan yang diteruskan Trezor lewat blog resminya, di dalam Safe 5 itu ada papan sirkuit tambahan yang dipasang di antara papan utama dan layar perangkat. Papan itu dilaporkan dilengkapi modul komunikasi seluler dan antena. Fungsinya, menurut laporan tersebut, adalah membaca apa pun yang tampil di layar, termasuk frasa pemulihan (wallet backup) saat pertama kali dibuat, lalu mengirimkannya lewat jaringan seluler setiap kali perangkat terhubung ke sumber daya.

Kalau mekanisme itu benar, maka serangan ini tidak butuh private key korban bocor lewat phishing atau malware di komputer. Cukup frasa pemulihan yang sempat tampil di layar, disadap di level perangkat keras, lalu dipakai untuk memulihkan dompet di perangkat lain. Itu juga alasan Trezor menekankan satu hal yang sering disalahpahami: memindahkan frasa pemulihan lama ke perangkat baru tidak menyelesaikan masalah, karena frasa itu mungkin sudah pernah terbaca oleh alat tersebut.

Pelapor sendiri menyadari ada yang janggal setelah merasakan perbedaan berat pada perangkatnya. Trezor menegaskan cara itu bukan tes yang bisa diandalkan. Perbedaan berat kecil bisa disebabkan banyak hal, dan tidak ada cara pemeriksaan mandiri yang bisa memastikan perangkat aman atau tidak.

Kronologi yang terverifikasi

Yang sudah pasti, dan yang masih dugaan

Bagian ini sengaja dipisah, karena di kasus seperti ini kabar yang beredar di media sosial sering mencampur keduanya.

Empat perangkat yang diperiksa dan dinyatakan bersih itu juga tidak boleh dibaca sebagai jaminan. Sampelnya kecil, dan Trezor sendiri tidak mengklaim perangkat CryptoBilis lain pasti aman. Justru karena itu peringatannya bersifat pencegahan untuk seluruh periode pembelian sejak Maret 2026.

Apa yang harus dilakukan kalau kamu beli dari CryptoBilis

Ini langkah yang diminta Trezor, ditulis ulang tanpa tambahan:

1. Kalau perangkat sudah dipakai: pindahkan dana secepatnya ke dompet baru yang dibuat dengan frasa pemulihan yang baru. Jangan memakai ulang frasa lama di perangkat mana pun.
2. Kalau belum punya dompet perangkat keras yang aman: Trezor menyarankan pemindahan sementara ke dompet software atau exchange yang kamu kenal, dengan memeriksa alamat penerima secara penuh sebelum mengirim.
3. Kalau perangkat belum pernah disiapkan: jangan disiapkan, dan jangan pernah memasukkan frasa pemulihan yang sudah kamu miliki ke perangkat itu.
4. Simpan perangkat lamanya dan hubungi dukungan resmi Trezor untuk mengatur penggantian. Trezor menawarkan perangkat pengganti yang dikirim langsung atau voucher untuk membeli perangkat baru bagi pembeli CryptoBilis sejak Maret 2026.
5. Jangan pernah membagikan frasa pemulihan ke siapa pun, termasuk pihak yang mengaku dari dukungan Trezor. Trezor memperingatkan penipu kemungkinan memanfaatkan insiden ini lewat email, surat, atau telepon palsu yang mengatasnamakan tim dukungannya.
6. Jangan mengandalkan timbangan atau bongkar sendiri sebagai tes. Keduanya tidak bisa memastikan perangkat aman atau tidak.

Langkah pertama itu yang paling sering salah dipahami. Banyak pengguna mengira cukup membeli perangkat baru lalu memasukkan frasa lama. Kalau frasa itu sudah sempat dibaca alat penyadap, perangkat baru tidak mengubah apa pun, karena siapa pun yang memegang frasa itu bisa memulihkan dompet dari mana saja.

Kenapa kasus ini tidak bisa dibaca terpisah dari kasus Ledger

Pada 9 Oktober 2026, Ledger mulai menyelidiki laporan kehilangan dana dari pelanggan yang membeli perangkat lewat CryptoBilis, dan kemudian mengonfirmasi ada perangkat yang dimodifikasi secara fisik dalam serangan rantai pasok yang canggih. Di hari yang sama, Trezor mencabut status CryptoBilis sebagai reseller resmi dan mulai memeriksa perangkat Trezor dari jalur yang sama.

Sejak itu, Trezor memeriksa empat perangkat dan tidak menemukan modifikasi, sampai laporan Safe 5 dari Indonesia ini masuk pada 28 Oktober. Urutan itu menjelaskan kenapa Trezor tidak menunggu hasil laboratorium sebelum memperingatkan publik. Seperti dikutip kepala komersial Trezor, Danny Sanders, oleh The Block: perusahaan lebih memilih memperingatkan sekarang daripada menunggu konfirmasi dan baru tahu ada yang kehilangan dana.

Pola ini juga sejalan dengan pekan yang sama di dunia kripto, ketika 12 situs kripto dibajak lewat domain dan disusupi drainer StepDrainer. Vektornya berbeda, satu menyasar perangkat keras, satu menyasar situs, tapi pesannya sama: penyerang mengincar lapisan yang paling dipercaya pengguna, entah itu dompetnya sendiri atau situs resminya.

Yang belum boleh disimpulkan dari kasus ini adalah bahwa semua hardware wallet tidak aman, atau bahwa semua perangkat Trezor bermasalah. Trezor menyatakan tidak ada laporan yang melibatkan reseller lain. Peringatan ini spesifik: satu jalur distribusi, satu periode pembelian, dan satu laporan yang dinilai kredibel tapi belum dikonfirmasi laboratorium. Begitu hasil pemeriksaan laboratorium keluar, status dugaan ini harus diperbarui, ke arah mana pun hasilnya.