Trezor menyingkirkan sebagian besar reseller setelah tiga wallet dirusak

Daftar vendor lebih pendek setelah pemeriksaan rantai pasok

Trezor telah menyingkirkan sekitar 80% resellernya setelah meninjau bagaimana perangkat sampai ke pelanggan. Produsen hardware wallet itu menyatakan hanya sekitar seperlima vendornya yang memenuhi persyaratan lebih ketat yang diperkenalkannya sebagai respons terhadap perangkat yang dirusak dan dijual lewat penjual asal Malaysia, CryptoBilis.

Aturan baru mencakup asal perangkat, cara penyimpanan, dan siapa yang boleh menanganinya. Trezor menyatakan reseller yang disingkirkan tidak melakukan kesalahan dan tidak menimbulkan bahaya langsung.

Pembaruan perusahaan terbit pada 12 November 2026, sehari setelahnya merilis firmware versi 2.13.1.

Apa yang dilakukan papan tersembunyi

Investigasi mencakup wallet yang dibeli antara Agustus dan September 2026. Trezor menemukan tiga perangkat Safe 5 yang disusupi di antara 48 pelanggan yang menghubungi perusahaan setelah peringatan pertamanya pada Oktober. Menurut Trezor, tidak ada dari pelanggan tersebut yang melaporkan kehilangan dana.

Pada setiap kasus, ada papan sirkuit tambahan di antara papan utama dan layar. Papan itu merekam apa yang ditampilkan layar, termasuk frasa pemulihan dan passphrase, yang dapat dipakai untuk mengakses dana wallet. Implan itu mengenkripsi data yang ditangkapnya dan mengirimkannya lewat jaringan seluler ke server milik penyerang. Jika tidak ada koneksi, data disimpan dan dikirim setelah koneksi kembali.

Perubahan firmware dan yang disampaikan ke pelanggan

Trezor menyatakan versi 2.13.1 memblokir implan yang teridentifikasi agar tidak menangkap informasi sensitif. Juru bicara perusahaan menjelaskan mekanismenya kepada Protos: «Implan itu memantau komunikasi antara MCU dan layar dan memicu perekaman saat melihat urutan tertentu.»

Untuk menggagalkan pemicu itu, Trezor menyatakan telah mengubah urutan perintah yang dikirim ke layar tanpa mengubah apa yang ditampilkan. Perusahaan menyatakan hal ini membuat implan tidak berguna.

Pemilik perangkat terdampak tetap diminta memindahkan dana ke wallet yang baru dibuat. Trezor belum menyebut berapa banyak perangkat dari batch CryptoBilis yang masih digunakan, atau apakah peninjauan reseller akan diperluas ke pasar lain.