Pada 9 Oktober, brankas yang paling dipercaya di dunia kripto dibobol. Sistem enkripsi Ledger tetap utuh, dan tidak ada yang mengeklik tautan phishing. Masalahnya terjadi pada tahap yang lebih awal: sebelum perangkat sampai ke tanganmu, seseorang sudah melihat seed phrase-mu.
Mari bahas kejadian ini terlebih dahulu. Pada 9 Oktober, detektif on-chain Specter menemukan banyak laporan di X dan Reddit tentang pengguna Ledger yang asetnya dicuri. Setelah menelusuri jejak on-chain, ditemukan lebih dari 300 dompet yang dikuras di berbagai jaringan, termasuk Bitcoin, Ethereum, dan Tron. Peneliti pihak ketiga memperkirakan kerugiannya mencapai 86–93 juta dolar AS. Ledger kemudian mengeluarkan dua pernyataan untuk mengonfirmasi bahwa semua kasus yang telah diverifikasi melibatkan perangkat dari distributor Asia Tenggara yang sama, CryptoBilis. Bahkan, di salah satu perangkat yang terdampak benar-benar ditemukan implan perangkat keras tanpa izin.
Mantan CEO Mt. Gox, Mark Karpelès, membongkar perangkat yang kemasannya masih utuh dan mengetahui cara kerja implan ini. Di bawah bantalan layar tersembunyi sebuah modul kecil: mikrokontroler yang terhubung ke kabel data SPI layar, modul LTE dengan eSIM, dan sebuah antena. Saat kamu menyalakan perangkat dan membuat seed phrase, kata-kata muncul satu per satu di layar untuk kamu salin. Modul ini menyadap data layar secara langsung, merekam lengkap 24 kata tersebut, lalu mengirimkannya kepada penyerang melalui jaringan seluler. Setelah itu, semuanya mudah: penyerang menggunakan seed phrase itu untuk langsung menguras dompet.
Yang paling menyakitkan, perangkat ini lolos pemeriksaan keaslian Ledger. Secure element-nya asli, seed phrase-nya asli, tanda tangannya pun asli. Secure element dapat memastikan private key tidak diekspor, tetapi tidak bisa mencegah seseorang memotret layar. Private key tidak pernah meninggalkan perangkat, tetapi seed phrase dicuri dalam beberapa detik saat ditampilkan.
Yang lebih bikin merinding, perangkat ini sudah mengalami tiga generasi pengembangan. Generasi pertama masih dirakit dengan kabel yang disolder secara manual, dan baterainya harus diganti dengan ukuran yang lebih kecil. Generasi kedua menggunakan papan sirkuit fleksibel. Generasi ketiga yang terbaru paling mengerikan: saat casing dibuka, baterai dan papan utama bawaan tetap utuh, hanya ada antena hitam tipis di tepi atas casing. Ini bukan pekerjaan rakitan perorangan, melainkan serangan rantai pasok yang didukung riset dan pengembangan, iterasi, serta kemampuan organisasi.
Apa artinya kejadian ini bagi kita, investor ritel? Ada tiga hal yang perlu kujelaskan. Pertama, beli dompet perangkat keras hanya dari situs resmi. Jangan tergiur distributor yang tampak resmi atau selisih harga yang lebih murah beberapa puluh yuan. Semua perangkat yang terdampak kali ini berasal dari jalur distributor, sementara tidak satu pun perangkat yang dijual langsung di situs resmi terkena dampak. Kedua, jangan buru-buru menggunakan perangkat setelah menerimanya. Periksa segel kemasan, timbang perangkat, dan cek apakah ada benda asing pada bodinya. Kalau ada yang terasa janggal, langsung hubungi pihak resmi. Sejujurnya, antena generasi ketiga tersembunyi dengan baik dan belum tentu bisa ditemukan hanya dengan meraba. Jadi, pilihan paling aman tetap yang pertama: beli hanya dari situs resmi. Panduan Ledger kali ini adalah jangan inisialisasi perangkat yang belum digunakan, dan bagi yang sudah menggunakannya, buat seed phrase baru. Ketiga, Ledger tidak akan pernah menelepon atau mengirim pesan pribadi untuk meminta 24 kata seed phrase-mu. Siapa pun yang memintanya adalah penipu. Setelah kejadian ini, phishing yang menyamar sebagai layanan pelanggan resmi pasti akan bermunculan.
Ada juga kelanjutan yang ironis. Pada 16 Oktober, Chainalysis mengungkap bahwa seorang penipu yang menjalankan penipuan tugas menyimpan uang hasil tipuan di Ledger yang sudah ditanami implan seperti ini. Akibatnya, penyerang menggasak 60 bitcoin, senilai sekitar 4,9 juta dolar AS. Penipu dicuri oleh penipu lain—di blockchain tidak ada kekebalan khusus.
Pendapatku hanya satu: dompet perangkat keras bisa melindungimu dari peretas, tetapi tidak dari sifatmu yang ingin berhemat. Setiap uang yang kamu hemat saat membeli dompet berarti kamu mempertaruhkan seluruh hartamu.
Kamu membeli dompet perangkat keras dari mana, situs resmi atau distributor? Ceritakan di kolom komentar. Aku ingin tahu berapa banyak orang yang, sepertiku, dulu memilih pihak ketiga demi kemudahan.
#硬件钱包 #Ledger #防骗 #SeranganRantaiPasok
—— web3韭菜小凯
Penafian: Artikel ini hanya untuk berbagi pembelajaran pribadi dan bukan merupakan saran investasi. Pasar memiliki risiko; harap berhati-hati sebelum berinvestasi.