Ledger mengonfirmasi adanya implan perangkat keras tanpa izin pada perangkat milik seorang pengguna terdampak yang dibeli melalui CryptoBilis.
Estimasi on-chain menunjukkan kerugian mencapai $93,2 juta dari 315 dompet di enam jaringan.
Perusahaan menyatakan bahwa sistemnya sendiri tetap aman dan mendesak pembeli baru-baru ini untuk tidak melakukan penyiapan atau memindahkan dana ke seed baru.
Produsen dompet perangkat keras Ledger mengonfirmasi bahwa sebuah perangkat yang terkait dengan laporan kehilangan dana berisi implan perangkat keras tanpa izin. Temuan ini memajukan penyelidikan atas potensi serangan rantai pasok yang melibatkan penjual kembali di Asia Tenggara, CryptoBilis.
Dalam pembaruan situasi yang diposting pada 10 Okt., Ledger Support menyatakan: “Ledger dapat mengonfirmasi bahwa perangkat milik salah satu pengguna yang terdampak berisi implan perangkat keras tanpa izin.” Perusahaan mengatakan bahwa pihaknya menghubungi pengguna yang terdampak, bekerja sama dengan pihak berwenang, dan berterima kasih kepada SEAL 911 atas dukungannya. Menurut unggahan tersebut, CryptoBilis telah menghentikan seluruh penjualan dompet perangkat keras selama penyelidikan berlangsung.
Penyelidikan dimulai setelah muncul laporan tentang dompet yang dananya dikuras milik pembeli perangkat Ledger dari CryptoBilis, penjual kembali resmi di Indonesia, Malaysia, dan Filipina. Dalam pernyataan awal pada 9 Okt., Ledger menyarankan pengguna yang membeli dari penjual kembali tersebut dalam 90 hari terakhir agar tidak menyiapkan perangkat yang belum digunakan dan mempertimbangkan untuk memindahkan aset ke penanda tangan Ledger baru dengan seed baru jika perangkat sudah diinisialisasi. Ledger berulang kali menyatakan bahwa tidak ada indikasi infrastruktur keamanan, sistem, atau layanannya sendiri telah diretas.
Penyelidik on-chain telah menghitung kerugian yang cukup besar. Perusahaan data blockchain Bitquery melaporkan bahwa $93,2 juta telah dikuras dari 315 dompet di TRON, Bitcoin, Ethereum, BNB Chain, Polygon, dan Solana. Sebagian besar dana tersebut berupa USDT di TRON. Tether telah membekukan sekitar $10 juta dalam bentuk USDT yang terkait dengan insiden ini. Perkiraan awal dari peneliti seperti Specter melampaui $86 juta, sebagaimana pertama kali diuraikan oleh The Block.
Pola pengurasan dana yang terjadi serentak—seperti beberapa dompet yang menandatangani persetujuan dalam hitungan detik—mengindikasikan adanya satu pelaku yang memperoleh kunci privat, selaras dengan dugaan implan perangkat keras yang dapat menangkap frasa pemulihan saat penyiapan dan mengekstraknya. Ledger sedang mengembangkan langkah-langkah anti-perusakan yang lebih kuat dan mendesak pengguna untuk hanya mengandalkan saluran resmi. Perusahaan menegaskan bahwa pihaknya tidak akan pernah meminta frasa pemulihan 24 kata.
Pengguna yang terdampak disarankan untuk menghubungi dukungan Ledger melalui saluran resmi. Insiden ini menyoroti risiko yang terus berlangsung dalam rantai pasok dompet perangkat keras, meski perusahaan menyatakan masalah tersebut terbatas pada saluran penjual kembali tertentu.
Artikel Ledger Confirms Unauthorized Hardware Implant Amid $93 Million CryptoBilis Wallet Drain Probe pertama kali diterbitkan di Cryptopress.