Ledger mengonfirmasi adanya perangkat keras tak berizin yang dipasang pada dompet! Bahkan dompet dingin pun tak bisa dipercaya sepenuhnya?
Keunggulan utama dompet dingin adalah menjaga kunci privat tetap jauh dari internet.
Namun, bagaimana jika perangkat yang Anda beli sudah dimanipulasi sebelum sampai ke tangan Anda?
Pada 10 Oktober, Ledger mengonfirmasi bahwa perangkat milik seorang pengguna yang terdampak ditemukan memiliki perangkat keras tak berizin. Kasus ini melibatkan distributor Asia Tenggara, CryptoBilis.
Belum dipastikan bagaimana perangkat tersebut dapat menyebabkan hilangnya dana, dan Ledger juga menyatakan bahwa sistem mereka tidak diretas.
Menurut saya, hal yang paling perlu diwaspadai dari kasus ini bukanlah teknologi dompet dingin yang tiba-tiba gagal, melainkan kemungkinan risiko keamanan bergeser dari chip dan perangkat lunak ke rantai pasokan, distributor, dan proses pembelian oleh pengguna.
Dengan kata lain, dompet dingin bukan berarti «aman begitu dibeli». Risikonya hanya beralih dari serangan daring ke berbagai aspek lain, seperti keaslian perangkat, pengiriman, pengelolaan distributor, proses inisialisasi, dan penyimpanan frasa pemulihan.
Masalah pada satu saja dari aspek tersebut dapat melemahkan keamanan secara keseluruhan.
Dokumentasi teknis resmi Ledger juga menyebutkan bahwa pemeriksaan keaslian tidak dapat menjamin terdeteksinya semua perangkat keras tambahan yang dipasang.
Artinya, «perangkat lolos verifikasi» tidak sama dengan «perangkat tersebut tidak pernah dimanipulasi». Pengguna tidak boleh hanya mengandalkan satu mekanisme keamanan.
Bagi pemilik aset kripto, membeli perangkat yang tepat hanyalah langkah pertama. Selain mengutamakan kanal resmi atau tepercaya, hindari membeli perangkat yang sumbernya tidak jelas, sudah dibuka segelnya, atau dijual dengan harga yang tidak wajar.
Setelah menerima perangkat, periksa kondisi kemasan dan perangkat, lalu lakukan inisialisasi sesuai prosedur resmi. Frasa pemulihan harus dibuat sendiri melalui perangkat. Jangan pernah menggunakan frasa pemulihan yang diberikan penjual, dan jangan memasukkannya ke ponsel, komputer, atau situs web mana pun.
Yang lebih penting, keamanan aset tidak seharusnya bertumpu pada «saya percaya merek ini», tetapi pada prosedur yang dapat diverifikasi dan kepercayaan yang tidak terpusat. Reputasi merek dapat mengurangi risiko, tetapi tidak dapat menggantikan pemeriksaan dasar oleh pengguna terhadap sumber, perangkat, dan prosedur penggunaannya.
Keamanan yang sesungguhnya tidak dimulai saat perangkat dinyalakan, tetapi sejak Anda memutuskan kepada siapa akan membeli.
#Ledger确认用户设备遭植入未授权硬件 $BNB
Keunggulan utama dompet dingin adalah menjaga kunci privat tetap jauh dari internet.
Namun, bagaimana jika perangkat yang Anda beli sudah dimanipulasi sebelum sampai ke tangan Anda?
Pada 10 Oktober, Ledger mengonfirmasi bahwa perangkat milik seorang pengguna yang terdampak ditemukan memiliki perangkat keras tak berizin. Kasus ini melibatkan distributor Asia Tenggara, CryptoBilis.
Belum dipastikan bagaimana perangkat tersebut dapat menyebabkan hilangnya dana, dan Ledger juga menyatakan bahwa sistem mereka tidak diretas.
Menurut saya, hal yang paling perlu diwaspadai dari kasus ini bukanlah teknologi dompet dingin yang tiba-tiba gagal, melainkan kemungkinan risiko keamanan bergeser dari chip dan perangkat lunak ke rantai pasokan, distributor, dan proses pembelian oleh pengguna.
Dengan kata lain, dompet dingin bukan berarti «aman begitu dibeli». Risikonya hanya beralih dari serangan daring ke berbagai aspek lain, seperti keaslian perangkat, pengiriman, pengelolaan distributor, proses inisialisasi, dan penyimpanan frasa pemulihan.
Masalah pada satu saja dari aspek tersebut dapat melemahkan keamanan secara keseluruhan.
Dokumentasi teknis resmi Ledger juga menyebutkan bahwa pemeriksaan keaslian tidak dapat menjamin terdeteksinya semua perangkat keras tambahan yang dipasang.
Artinya, «perangkat lolos verifikasi» tidak sama dengan «perangkat tersebut tidak pernah dimanipulasi». Pengguna tidak boleh hanya mengandalkan satu mekanisme keamanan.
Bagi pemilik aset kripto, membeli perangkat yang tepat hanyalah langkah pertama. Selain mengutamakan kanal resmi atau tepercaya, hindari membeli perangkat yang sumbernya tidak jelas, sudah dibuka segelnya, atau dijual dengan harga yang tidak wajar.
Setelah menerima perangkat, periksa kondisi kemasan dan perangkat, lalu lakukan inisialisasi sesuai prosedur resmi. Frasa pemulihan harus dibuat sendiri melalui perangkat. Jangan pernah menggunakan frasa pemulihan yang diberikan penjual, dan jangan memasukkannya ke ponsel, komputer, atau situs web mana pun.
Yang lebih penting, keamanan aset tidak seharusnya bertumpu pada «saya percaya merek ini», tetapi pada prosedur yang dapat diverifikasi dan kepercayaan yang tidak terpusat. Reputasi merek dapat mengurangi risiko, tetapi tidak dapat menggantikan pemeriksaan dasar oleh pengguna terhadap sumber, perangkat, dan prosedur penggunaannya.
Keamanan yang sesungguhnya tidak dimulai saat perangkat dinyalakan, tetapi sejak Anda memutuskan kepada siapa akan membeli.
#Ledger确认用户设备遭植入未授权硬件 $BNB