Selama bertahun-tahun berkecimpung di dunia kripto, gue belum pernah melihat cara mencuri koin yang lebih mengerikan. Peretas bahkan tak perlu menulis kode; di dalam dompet perangkat keras itu sudah terpasang kartu eSIM.
Pengalaman pahit pengguna: Juni lalu membeli 80 BTC saat harga 65.000 dolar, lalu memindahkannya ke Ledger seminggu yang lalu. Hari ini semuanya dikuras hingga nol. Keuntungan di atas kertas sebesar 1,38 juta dolar pun lenyap bersama modal.
Dalam 24 jam terakhir, kerugian dana terkait yang dilacak MistTrack sudah mendekati 90 juta dolar. Tether mulai membekukan alamat USDT terkait. Mantan CEO Mt. Gox, Mark Karpelès, membongkar sendiri sebuah Ledger yang dibeli di Malaysia dan menemukan perangkat mata-mata yang disolder di posisi bantalan busa layar. Perangkat itu dilengkapi komunikasi LTE, antena, eSIM, dan mikrokontroler. Stikernya asli, plastik segel panasnya utuh—tak ada yang aneh kecuali dibongkar.
/
❚ Cara mencuri koinnya lebih sederhana dari yang kamu bayangkan
Keamanan dompet perangkat keras bertumpu pada satu hal: isolasi
Kunci privat tersimpan di dalam chip dan tidak pernah keluar dari perangkat
Penandatanganan dilakukan di dalam perangkat. Yang terhubung ke internet hanyalah komputer utama, bukan dompetnya.
Serangan kali ini meruntuhkan asumsi tersebut. Mikrokontroler yang ditanam terhubung ke bus SPI Ledger dan bisa membaca karakter yang akan ditampilkan di layar. Pada halaman inisialisasi frasa pemulihan, layar menampilkan 24 kata itu satu per satu. Modul tersebut mengirimkan karakter-karakter ini melalui LTE. Setelah penyerang mendapatkan frasa pemulihan, kekuatan kata sandi dan kebiasaan penggunaanmu tak lagi relevan. Mereka tinggal menunggu waktu yang tepat untuk menguras semuanya dalam sekali klik.
Gampangnya begini: kamu mengira sedang berurusan dengan brankas yang berdiri sendiri. Padahal, di bawah brankas itu tersembunyi sebuah ponsel. Dari luar tampak biasa saja, tetapi ponsel itu bisa melihat apa pun yang ditampilkan di layar.
❚ Rekam jejak keamanan Ledger
Teman-teman yang sudah lama berkecimpung di dunia kripto tentu tak asing dengan masalah Ledger. Yuk, kita telusuri kronologinya ⬇️
1/ 2018: Kerentanan yang ditemukan dalam riset perangkat keras awal
Peneliti mendemonstrasikan bahwa Nano S bisa dimodifikasi sebelum keluar dari pabrik dan bootloader MCU dapat dilewati
Kebanyakan merupakan masalah tingkat riset. Umumnya diperbaiki pihak resmi dan jarang menimbulkan kerugian nyata
2/ 2020: Kebocoran besar-besaran basis data e-commerce
Lebih dari 1 juta alamat email dan lebih dari 270.000 nama, nomor telepon, serta alamat pelanggan dipublikasikan
Perangkat keras dan kunci privat aman, tetapi kejadian ini memicu gelombang email phishing dan surat palsu yang mengatasnamakan pihak resmi selama bertahun-tahun setelahnya
3/ Desember 2023: Serangan rantai pasok Connect Kit
Mantan karyawan terkena phishing, akun npm diambil alih, lalu versi berbahaya disisipkan ke semua DApp yang bergantung pada pustaka tersebut
Dalam dua jam, 480.000–600.000 dolar dicuri
Perangkat kerasnya aman, tetapi untuk pertama kalinya semua orang sadar bahwa dependensi frontend juga bisa menjadi celah risiko
4/ Januari 2026: Kebocoran data pesanan pihak ketiga Global-e lagi
Masalah lama yang terus menyuburkan ekosistem phishing
5/ April 2026: Penipuan aplikasi Ledger Live palsu di App Store
Lebih dari 50 orang kehilangan 9,5 juta dolar dalam seminggu setelah ditipu untuk memasukkan frasa pemulihan 24 kata
Sebelum kejadian ini, inilah kerugian terbesar dalam satu insiden
6/ Agustus 2026: Kerentanan tanda tangan Ethereum LSB-023
Clear-signing dapat dilewati dengan bantuan komputer utama yang berbahaya, tetapi tak ada bukti eksploitasi nyata
7/ 9 Oktober 2026: Serangan rantai pasok CryptoBillis
Kerugian yang dilacak hampir mencapai 90 juta dolar, nyaris 10 kali lipat rekor sebelumnya
Ada pola yang sangat jelas: semua kejadian sebelumnya hanya membocorkan metadata atau mengharuskan pengguna melakukan hal bodoh (memasang aplikasi palsu, memasukkan frasa pemulihan). Namun kali ini, frasa pemulihan tak pernah lepas dari tanganmu, perangkat tak pernah terhubung ke internet, dan semua proses berjalan normal. Tapi uangnya tetap raib.
❚ Kenapa justru Asia Tenggara?
CryptoBillis adalah distributor resmi Ledger di Asia Tenggara. Dibanding memesan dari situs resmi, membeli lewat distributor sedikit lebih murah, barang lebih cepat sampai, dan tak perlu menggunakan pengiriman internasional. Di kalangan kripto Asia Tenggara, ini cara membeli yang sangat umum. Gue sendiri tinggal di Bangkok dan punya banyak teman yang membeli lewat jalur ini.
Sisi paling mengerikan dari serangan rantai pasok adalah
Tak perlu membobol Ledger itu sendiri
Tak perlu ada kesalahan dari pengguna
Cukup menyusupi satu titik distributor saja, mereka bisa melakukan kejahatan secara massal
Ledger sudah meminta CryptoBillis menghentikan penjualan dan pengiriman, serta menyarankan pengguna yang membeli lewat jalur tersebut dalam 90 hari terakhir untuk segera memindahkan aset. Namun, berapa banyak perangkat yang sudah beredar dan apakah hanya distributor ini yang terdampak, bahkan pihak Ledger sendiri belum bisa memastikannya.
❚ Saran praktis
Setelah membahas cara kerjanya, berikut beberapa hal yang bisa langsung diterapkan
1/ Beli dompet perangkat keras hanya langsung dari situs resminya. Jangan lewat pihak ketiga mana pun.
Termasuk tautan rekomendasi influencer besar, distributor, Taobao, Xianyu, dan titip beli lewat teman
Demi menghemat sedikit uang, sekalian saja bakar perangkatnya
2/ Saat menerima perangkat, jangan gunakan kartu frasa pemulihan bawaan apa pun. Lakukan inisialisasi ulang.
Lakukan verifikasi secara ketat menggunakan Genuine Check di situs resmi Ledger
Jika perlu, kirim kembali ke pihak resmi untuk pemeriksaan fisik
3/ Pecah aset bernilai besar ke beberapa dompet
Jangan simpan seluruh harta dalam satu dompet
Gunakan multisig atau beberapa alamat untuk menyebar aset dan meningkatkan biaya jika satu titik mengalami kegagalan
4/ Ganti dompet secara berkala
Meski hari ini tak terjadi apa-apa, bukan berarti tiga tahun lagi juga akan aman
Ibarat mengganti kunci akun
5/ Pantau pemantauan real-time dari lembaga seperti MistTrack dan SlowMist
Ada jeda antara terjadinya insiden dan saat insiden terlacak. Mengganti dompet lebih awal bisa menyelamatkanmu.
/
Kesimpulannya: yang paling mengerikan kali ini bukan jumlah kerugiannya, melainkan perubahan asumsi dasar kita tentang «keamanan dompet perangkat keras».
Dulu kita mengira uang akan aman selama kita tidak bertindak ceroboh. Sekarang kita perlu menambahkan satu hal: barang yang kamu beli mungkin bukan barang yang kamu kira.
Jujur, setelah menulis artikel ini, gue sendiri jadi ingin menyimpan Ledger dan ganti merek. Pasar saja sudah kacau, sekarang malah dibuat kaget oleh kejadian seperti ini.
(Informasi dalam artikel ini dihimpun dari MistTrack, pengungkapan publik Mark Karpelès, dan pengumuman historis Ledger. Tidak memuat saran apa pun; harap verifikasi sendiri.)