Chip mata-mata tersembunyi di dompet perangkat keras: bagaimana US$80 juta dicuri
CZ baru saja membagikan peringatan keamanan. Setelah membacanya, bulu kuduk saya merinding:
Seorang distributor resmi Ledger di Malaysia yang sudah beroperasi selama bertahun-tahun dibeli secara keseluruhan oleh peretas. Mereka menanam chip mata-mata mini ke dalam dompet, mengemasnya kembali, lalu mengirimkannya. "Produk asli baru" yang diterima pengguna ternyata sudah mengirimkan private key sejak hari pertama. Nilai kerugian dalam kasus ini mencapai lebih dari US$80 juta. Yang lebih parah, peretas juga memaksa distributor itu menandatangani perjanjian kerahasiaan, sehingga kasus ini baru terungkap setelah sekian lama.
Mari kita bedah rantai serangannya:
1. Titik masuknya bukan bursa gelap atau tautan phishing, melainkan rantai pasokan—perangkat keras yang kamu beli itu sendiri palsu
2. Chip tersebut mengirimkan private key saat kamu membuat frasa pemulihan. Setelah itu, berapa pun aset yang kamu masukkan, semuanya seperti bekerja untuk orang lain
3. Segel, kemasan plastik, dan stiker antipalsunya semuanya tampak seperti aslinya. Orang awam tidak mungkin membedakannya hanya dengan mata telanjang
Periksa tiga hal ini sekarang juga:
1. Dari mana kamu membeli dompet perangkat kerasmu? Kalau bukan dari toko resmi, melainkan distributor pihak ketiga atau platform barang bekas, tingkat risikonya langsung maksimal
2. Ledger menyediakan pemeriksaan keaslian perangkat (Genuine Check di Ledger Live). Kalau belum pernah menjalankannya, segera lakukan
3. Jangan menaruh semua aset bernilai besar di satu perangkat saja. Simpan secara terpisah—nasihat lama, tetapi kalau benar-benar terjadi sesuatu, hanya cara ini yang bisa diandalkan
Menurut saya, yang paling mengerikan bukanlah US$80 juta, melainkan hancurnya keyakinan bahwa "dompet perangkat keras = keamanan mutlak". Dompet dingin melindungi dari serangan melalui internet, tetapi tidak bisa melindungi dari perangkat yang sudah dimanipulasi sebelum keluar dari pabrik. Mulai sekarang, saya hanya akan membeli dompet perangkat keras langsung dari toko resmi. Biar sedikit lebih mahal, tak masalah.
#安全 $BTC
CZ baru saja membagikan peringatan keamanan. Setelah membacanya, bulu kuduk saya merinding:
Seorang distributor resmi Ledger di Malaysia yang sudah beroperasi selama bertahun-tahun dibeli secara keseluruhan oleh peretas. Mereka menanam chip mata-mata mini ke dalam dompet, mengemasnya kembali, lalu mengirimkannya. "Produk asli baru" yang diterima pengguna ternyata sudah mengirimkan private key sejak hari pertama. Nilai kerugian dalam kasus ini mencapai lebih dari US$80 juta. Yang lebih parah, peretas juga memaksa distributor itu menandatangani perjanjian kerahasiaan, sehingga kasus ini baru terungkap setelah sekian lama.
Mari kita bedah rantai serangannya:
1. Titik masuknya bukan bursa gelap atau tautan phishing, melainkan rantai pasokan—perangkat keras yang kamu beli itu sendiri palsu
2. Chip tersebut mengirimkan private key saat kamu membuat frasa pemulihan. Setelah itu, berapa pun aset yang kamu masukkan, semuanya seperti bekerja untuk orang lain
3. Segel, kemasan plastik, dan stiker antipalsunya semuanya tampak seperti aslinya. Orang awam tidak mungkin membedakannya hanya dengan mata telanjang
Periksa tiga hal ini sekarang juga:
1. Dari mana kamu membeli dompet perangkat kerasmu? Kalau bukan dari toko resmi, melainkan distributor pihak ketiga atau platform barang bekas, tingkat risikonya langsung maksimal
2. Ledger menyediakan pemeriksaan keaslian perangkat (Genuine Check di Ledger Live). Kalau belum pernah menjalankannya, segera lakukan
3. Jangan menaruh semua aset bernilai besar di satu perangkat saja. Simpan secara terpisah—nasihat lama, tetapi kalau benar-benar terjadi sesuatu, hanya cara ini yang bisa diandalkan
Menurut saya, yang paling mengerikan bukanlah US$80 juta, melainkan hancurnya keyakinan bahwa "dompet perangkat keras = keamanan mutlak". Dompet dingin melindungi dari serangan melalui internet, tetapi tidak bisa melindungi dari perangkat yang sudah dimanipulasi sebelum keluar dari pabrik. Mulai sekarang, saya hanya akan membeli dompet perangkat keras langsung dari toko resmi. Biar sedikit lebih mahal, tak masalah.
#安全 $BTC