Ringkasan cerita
- Trezor memperingatkan bahwa email berjudul Critical Security Alert: STM32 Entropy Vulnerability bukan pesan resmi dan merupakan upaya phishing.
- Peringatan itu datang setelah pemasok email pihak ketiga Trezor dibobol; domain yang dipakai telah diturunkan dan penyelidikan berlangsung.
- Kebocoran ShipMonk sebelumnya mengekspos data kontak hingga 80.689 pelanggan, sehingga email, telepon, atau surat yang tampak meyakinkan perlu diperlakukan sebagai risiko penipuan.
- Trezor menyatakan sistem, perangkat, private key, dan wallet backup tidak terdampak dalam insiden pemasok yang telah diumumkan; jangan pernah memasukkan wallet backup ke situs atau membagikannya.
Trezor memperingatkan pengguna agar tidak mengeklik email berjudul Critical Security Alert: STM32 Entropy Vulnerability. Dalam peringatan yang dipublikasikan melalui akun resminya di X pada 10 September, perusahaan menyebut email itu bukan komunikasi resmi dan merupakan phishing.[4]
Fakta terverifikasi
Teks peringatan yang terlihat pada sampel X menyebut pemasok email pihak ketiga Trezor telah dibobol. Trezor mengatakan domain terkait telah diturunkan dan penyelidikan sedang dilakukan, tetapi belum merinci jumlah penerima atau data pemasok yang diakses.[4]
BitBox kemudian melaporkan bahwa email phishing juga dikirim kepada pelanggan newsletter-nya, dan pemeriksaan awal menunjukkan penyedia newsletter sangat mungkin telah dikompromikan. BitBox menambahkan bahwa beberapa perusahaan Bitcoin lain tampaknya ditargetkan melalui penyedia yang sama.[5] Nama perusahaan lain dan skala kampanye belum diumumkan.
Peringatan terbaru muncul setelah insiden berbeda di ShipMonk, pemasok logistik Trezor. Trezor menyatakan pembaruan insiden itu memengaruhi sekitar 67.000 pelanggan Amerika Serikat tambahan dan sebelumnya telah mengungkap data pelanggan dari kelompok lain; halaman resminya mencantumkan total 80.689 pelanggan terdampak.[1]
BleepingComputer dan Help Net Security melaporkan bahwa data yang terekspos dalam insiden ShipMonk mencakup nama, alamat email, nomor telepon, dan alamat pengiriman, sehingga membuka peluang penipuan yang lebih tertarget.[2][3] Trezor menyatakan insiden ShipMonk tidak membobol sistem Trezor dan perangkat dompet tetap aman.[1]
Yang belum jelas
Belum ada angka publik tentang berapa banyak orang yang menerima email phishing terbaru, data apa yang diakses dari pemasok email, atau apakah ada aset yang dicuri. Hubungan teknis antara pemasok email yang dibobol dan insiden ShipMonk juga belum dijelaskan; keduanya diperlakukan sebagai kejadian terpisah.[1][4]
Sumber X resmi dapat dibaca melalui ekstraksi publik untuk Trezor dan BitBox. Detail tambahan yang tidak dinyatakan langsung oleh perusahaan tidak dianggap terkonfirmasi.[4][5]
Mengapa penting sekarang
Kombinasi kebocoran data kontak dan email yang mengatasnamakan kerentanan perangkat keras dapat membuat penipuan terlihat meyakinkan. Pengguna Trezor sebaiknya memeriksa pengumuman hanya melalui kanal resmi, tidak mengeklik tautan dalam email tersebut, dan tidak pernah memasukkan wallet backup atau seed phrase ke situs mana pun.[1]
Peringatan ini tidak membuktikan bahwa private key atau dana pengguna telah terekspos. Bukti yang tersedia justru menyatakan sistem Trezor, perangkat, dan backup dompet tidak terdampak dalam insiden ShipMonk; dampak email terbaru masih diselidiki.[1][4]
Penyebaran sosial
Peringatan Trezor muncul di X pada sekitar pukul 05.04 WIB. BitBox menyusul dengan laporan bahwa pelanggan newsletter-nya menerima phishing dan beberapa perusahaan Bitcoin lain tampaknya ditargetkan melalui penyedia yang sama.[5] Help Net Security juga mencatat laporan phishing melalui panggilan dan surat pada rangkaian insiden sebelumnya.[3][4] Sinyal sosial menunjukkan urgensi peringatan, bukan ukuran korban.
Riwayat pembaruan
Artikel ini akan diperbarui jika Trezor mengumumkan jumlah penerima, data yang diakses, korban, atau hasil penyelidikan pemasok email.[4]
Sources
[1] https://trezor.io/blog/news/recent-customer-data-exposed-in-shipping-provider-incident — Recent customer data exposed in shipping provider incident [2] https://www.bleepingcomputer.com/news/security/trezor-data-breach-impact-now-reaches-81-000-customers — Trezor data breach impact now reaches 81,000 customers [3] https://www.helpnetsecurity.com/2026/09/08/trezor-shipping-partner-breach-phishing-attacks — Trezor customers hit with phishing calls and letters after shipping-partner breach [4] https://x.com/trezor/status/2097786518110609620 — Trezor warning about unauthorized phishing email [5] https://x.com/BitBoxSwiss/status/2097793026336981079 — BitBox warning about compromised newsletter provider [6] https://blog.bitbox.swiss/en/staying-secure-understanding-and-identifying-scam-emails — Staying secure: understanding and identifying scam emails
Yang sudah terverifikasi
- Akun Trezor memperingatkan pada 10 September 2026 bahwa email dengan judul Critical Security Alert: STM32 Entropy Vulnerability bukan berasal dari Trezor dan merupakan phishing.
- Trezor menyatakan pemasok email pihak ketiganya telah dibobol, domain terkait telah diturunkan, dan investigasi sedang dilakukan.
- Trezor menyatakan kebocoran ShipMonk berdampak pada 80.689 pelanggan dan meningkatkan risiko phishing melalui email, telepon, atau surat.
- BleepingComputer dan Help Net Security melaporkan kebocoran serta risiko serangan phishing yang menargetkan pelanggan Trezor.
- BitBox menyatakan pemeriksaan awal mengarah pada dugaan kompromi penyedia newsletter dan melaporkan phishing domain kepada pihak terkait.
Yang masih belum jelas
- Trezor belum memaparkan jumlah penerima email phishing terbaru, data apa yang diakses dari pemasok email, atau apakah ada korban yang kehilangan aset.
- Peringatan email terbaru berbeda dari kebocoran data ShipMonk; hubungan teknis antara kedua pemasok belum dijelaskan dalam sumber yang diperiksa.
- Sumber X resmi Trezor dan BitBox dapat dibaca melalui hasil ekstraksi publik; detail yang tidak dinyatakan langsung oleh perusahaan tetap tidak dianggap terkonfirmasi.
- BitBox belum menyebut nama perusahaan lain yang ditargetkan, skala penerima, atau dampak finansial dari kampanye tersebut.
Percakapan dan penyebaran
Peringatan menyebar melalui unggahan resmi Trezor dan BitBox di X, lalu dikutip dalam diskusi keamanan siber. BitBox menyebut beberapa perusahaan Bitcoin lain juga ditargetkan melalui penyedia newsletter yang sama; skala kampanye belum diketahui. Perhatian sosial dipakai sebagai sinyal urgensi, bukan sebagai bukti jumlah korban atau kehilangan aset.