Serangan rantai pasok terhadap dompet perangkat keras Ledger: US$86 juta dicuri!
Ledger baru saja mengeluarkan peringatan resmi: mereka sedang menyelidiki kasus pencurian aset yang melibatkan pengguna di Asia Tenggara. Perangkat terkait dibeli dari distributor.
Saran resmi: jika Anda membeli dompet perangkat keras Ledger dalam 90 hari terakhir, jangan buru-buru menggunakannya.
Seberapa besar kerugiannya?
Penyelidik blockchain Specter memperkirakan dana yang dicuri berasal dari ratusan dompet di jaringan Bitcoin $BTC , Ethereum $ETH , dan Tron, dengan total lebih dari US$86 juta. Peneliti keamanan tanuki42 sebelumnya memperkirakan kerugiannya lebih dari US$72 juta, dan angkanya masih terus bertambah.
Mengapa dompet perangkat keras juga bisa dibobol?
Ini bukan kerentanan perangkat lunak, melainkan serangan fisik terhadap rantai pasok.
Seorang pakar keamanan perangkat keras pernah mendemonstrasikan dompet perangkat keras yang telah dimodifikasi: sebuah chip mata-mata mini ditanam di dalamnya dan terhubung ke bus SPI antara elemen keamanan dan layar OLED.
Cara kerjanya: chip tersebut secara pasif menangkap frasa pemulihan yang ditampilkan di layar Anda, lalu “membacanya” menggunakan pengenalan pola. Setelah itu, frasa pemulihan dikirim langsung melalui modul 4G dan eSIM bawaan. Seluruh proses ini tidak melewati komputer Anda dan tidak memicu peringatan perangkat lunak apa pun.
Keamanan dompet perangkat keras tidak pernah hanya bergantung pada perangkat lunak. Dari pabrik hingga ke tangan Anda, setiap mata rantai bisa saja telah dimanipulasi.
Ledger baru saja mengeluarkan peringatan resmi: mereka sedang menyelidiki kasus pencurian aset yang melibatkan pengguna di Asia Tenggara. Perangkat terkait dibeli dari distributor.
Saran resmi: jika Anda membeli dompet perangkat keras Ledger dalam 90 hari terakhir, jangan buru-buru menggunakannya.
Seberapa besar kerugiannya?
Penyelidik blockchain Specter memperkirakan dana yang dicuri berasal dari ratusan dompet di jaringan Bitcoin $BTC , Ethereum $ETH , dan Tron, dengan total lebih dari US$86 juta. Peneliti keamanan tanuki42 sebelumnya memperkirakan kerugiannya lebih dari US$72 juta, dan angkanya masih terus bertambah.
Mengapa dompet perangkat keras juga bisa dibobol?
Ini bukan kerentanan perangkat lunak, melainkan serangan fisik terhadap rantai pasok.
Seorang pakar keamanan perangkat keras pernah mendemonstrasikan dompet perangkat keras yang telah dimodifikasi: sebuah chip mata-mata mini ditanam di dalamnya dan terhubung ke bus SPI antara elemen keamanan dan layar OLED.
Cara kerjanya: chip tersebut secara pasif menangkap frasa pemulihan yang ditampilkan di layar Anda, lalu “membacanya” menggunakan pengenalan pola. Setelah itu, frasa pemulihan dikirim langsung melalui modul 4G dan eSIM bawaan. Seluruh proses ini tidak melewati komputer Anda dan tidak memicu peringatan perangkat lunak apa pun.
Keamanan dompet perangkat keras tidak pernah hanya bergantung pada perangkat lunak. Dari pabrik hingga ke tangan Anda, setiap mata rantai bisa saja telah dimanipulasi.