Sebanyak tiga unit dompet kripto Trezor Safe 5 yang didapatkan konsumen melalui distributor resmi CryptoBilis terbukti disusupi peranti keras tambahan ilegal berwujud papan sirkuit mini yang sanggup menyalin seluruh frasa pemulihan cadangan, sebagaimana diumumkan oleh pihak produsen perangkat keras Trezor kemarin.
Papan sirkuit selundupan tersebut bekerja dengan cara merekam tampilan frasa rahasia langsung dari layar perangkat kemudian mentransmisikannya lewat sambungan jaringan seluler langsung ke server komando milik peretas. Tim teknis perusahaan sudah memeriksa satu unit secara menyeluruh di laboratorium forensik, memastikan keberadaan dua unit lainnya melalui foto detail kiriman para pemilik, dan memastikan belum menemukan aduan saldo lenyap dari para nasabah terdampak.
Pembaruan piranti tegar berkode versi 2.13.1 yang dirilis awal pekan ini mampu menggagalkan upaya seluruh komponen spionase yang terdeteksi agar tidak dapat membaca data di perangkat aktif, namun pihak perusahaan menegaskan bahwa 'pembaruan sistem ini sama sekali tidak sanggup melindungi data cadangan kunci yang sudah telanjur terekam sebelumnya.'
Pihak produsen menyatakan imbauan keselamatan penting bagi seluruh konsumen yang membeli perangkat Trezor dari jaringan penjualan CryptoBilis sejak bulan Maret, termasuk gerai resmi mereka pada marketplace Tokopedia serta Shopee, tidak mengalami perubahan sedikit pun:
Rilis piranti tegar versi 2.13.1 ini telah disalurkan bagi tipe Safe 7, Safe 5, Safe 3, dan Model T, berdasarkan catatan resmi perubahan sistem perusahaan. Manajemen menyatakan bahwa pihaknya tidak berencana merilis detail teknis cara kerja celah tersebut ke publik guna mencegah eksploitasi oleh pelaku kejahatan siber atau membahayakan rasa aman nasabah secara luas, seperti diungkapkan dalam laporan pembaruan investigasi mereka.
Para insinyur internal berhasil mengekstrak sekaligus membedah program mikrokontroler dari komponen liar pada dompet fisik kasus pertama. Modul selundupan ini terpasang tepat di celah antara papan sirkuit utama milik Safe 5 dan bagian layar depannya, sama sekali tidak memodifikasi struktur bawaan dompet fisik itu sendiri, termasuk keutuhan piranti tegar maupun modul Secure Element pengamannya, berdasarkan hasil penelusuran teknis internal.
Alat berbahaya itu bertugas menyalin frasa pemulihan akun saat perangkat menampilkannya di layar saat proses pembuatan cadangan baru, serta ketika pemilik mengetikkan kata sandi untuk memulihkan dompet lama ke gawai. Modul tersebut juga otomatis merekam frasa sandi tambahan bila deretan karakter itu tertera pada layar. Komponen ini mengenkripsi seluruh rekaman informasi sebelum ditransmisikan, dan jika tidak memperoleh sinyal komunikasi seluler, data tetap tersimpan aman di memorinya hingga koneksi berhasil didapatkan kembali.
Produsen pertama kali mengeluarkan peringatan mengenai dugaan manipulasi fisik tersebut pada 30 Oktober lalu, hanya dua hari seusai laporan seorang pembeli masuk serta sebelum fisik gawai tersebut tiba di meja riset pengujian perusahaan.
CryptoBilis sebelumnya beroperasi sebagai mitra distributor resmi untuk pemasaran wilayah Asia Tenggara hingga kemitraannya resmi diputus pada 9 Oktober. Pencabutan izin ini bertepatan dengan langkah produsen peranti keras lain, Ledger, yang membuka penyelidikan mendalam atas raibnya dana sejumlah nasabah dari toko distributor tersebut.
Pihak Ledger beberapa waktu berselang memvalidasi temuan komponen liar di dalam unit gawai yang diedarkan oleh distributor bersangkutan. Para pelaku menyusupkan komponen rahasia ke dalam perangkat asli buatan Ledger guna membajak frasa kunci saat inisialisasi awal, kemudian menguras seluruh isi dompet digital korban dalam aksi pembobolan serentak yang terencana rapi, demikian keterangan resmi insiden Ledger.
Pihak Trezor menjelaskan cara kerja komponen selundupan di unit mereka identik dengan temuan pada peranti buatan Ledger, yang telah disesuaikan dengan arsitektur layar monitor milik tipe Safe 5. Manajemen belum memaparkan secara pasti identitas dalang pemasangan komponen itu maupun titik rantai pasok distribusi tempat manipulasi fisik berlangsung.
Ketiga unit dompet yang terdampak tersebut dibeli konsumen dalam rentang waktu antara 20 Agustus hingga 23 September. Sejauh investigasi berjalan, perusahaan hanya menemukan modul spionase ini pada tipe Safe 5 dari distributor terkait, tanpa ada bukti keberadaan peranti serupa pada distributor resmi lain atau seri perangkat produksi lainnya.
Menyusul pengumuman insiden pada Oktober, manajemen meminta pembeli produk melalui penjual tersebut untuk segera melapor, dan tercatat sebanyak 48 pelanggan telah memberikan konfirmasi. Pemeriksaan fisik terus berlanjut di laboratorium maupun analisa visual foto komponen internal gawai, tanpa menyebutkan angka pasti jumlah unit yang telah rampung diperiksa sampai saat ini.
Perusahaan mengonfirmasi bahwa ketiga nasabah bersangkutan tidak mengalami kehilangan aset kripto. Mengingat dompet buatan Trezor beroperasi secara mandiri tanpa kustodian pihak ketiga, perusahaan sama sekali tidak mempunyai akses melihat jumlah saldo simpanan para pemakainya.
Perusahaan menyatakan telah memangkas skala jaringan distributornya hingga sekitar 80 persen, termasuk memutuskan kontrak mitra terpercaya yang sebetulnya bersih dari bahaya tetapi tidak sejalan dengan standardisasi aturan baru yang jauh lebih ketat. Kebijakan pemangkasan mitra ini pertama kali dipublikasikan pada 13 Oktober via kanal media sosial X, lebih dari dua pekan sebelum kasus komponen liar pertama pada dompet buatannya dilaporkan.
Lewat surat resmi edaran mitra di hari yang sama, diputuskan bahwa pihak distributor yang dicoret tidak akan menerima suplai produk anyar, diperbolehkan menghabiskan stok tersisa sampai 1 Januari 2027, serta bakal dihapus permanen dari daftar penyalur resmi perusahaan.
Proses investigasi rantai pasokan masih berjalan secara intensif. Pihak pabrikan berjanji menerbitkan pembaruan informasi terkini jika menemukan komponen selundupan di luar distributor terkait atau tipe selain Safe 5, mendapatkan laporan saldo lenyap akibat kasus ini, atau meluncurkan instrumen pengamanan mutakhir.
About the Author
