Ledger telah mengonfirmasi bahwa sebuah hardware wallet milik salah satu korban dalam gelombang pencurian besar di Asia Tenggara mengandung implant perangkat keras yang tidak sah.

Peneliti on-chain memperkirakan bahwa lebih dari $86 juta telah dikuras dari ratusan wallet. Ledger mengatakan setiap kasus yang terkonfirmasi sejauh ini melibatkan perangkat yang dijual melalui satu reseller, CryptoBilis, dan bahwa sistem internal serta saluran penjualan langsung mereka tidak terdampak.

Apa yang Terjadi

Pada 9 Oktober, pelanggan yang membeli perangkat Ledger melalui CryptoBilis mulai melaporkan transaksi yang tidak sah. CryptoBilis adalah reseller resmi Ledger yang melayani Indonesia, Malaysia, dan Filipina. Peneliti on-chain tanuki42 pertama kali menandai lebih dari $72 juta yang berpindah ke sekelompok alamat yang dicurigai terkait pencurian.

Peneliti lain, Specter, kemudian menelusuri aliran dana di Bitcoin, Ethereum, dan Tron, lalu memperkirakan kerugian yang dicurigai mencapai lebih dari $86 juta. MistTrack dan Arkham Intelligence kemudian memperkirakan angkanya mendekati $90 juta, sementara beberapa media menyebut estimasi hingga sekitar $93 juta yang tersebar di lebih dari 300 dompet.

Ledger belum memverifikasi angka-angka total ini, dan belum jelas apakah setiap pencurian dalam estimasi tersebut terkait dengan pelanggan CryptoBilis.

Kerugian yang Dialami Satu Korban

Lookonchain menggambarkan salah satu kasus yang paling menyakitkan. Empat bulan lalu, investor tersebut membeli 80 BTC senilai sekitar $5,2 juta dengan harga sekitar $65.000 per BTC dan memperoleh keuntungan sekitar $1,38 juta. Seminggu yang lalu, ia membeli Ledger dari CryptoBilis dan memasukkan seluruh 80 BTC ke dalamnya. Kini, menurut Lookonchain, ia kehilangan semuanya.

Tanggapan Ledger

Pada 9 Oktober, Ledger meminta CryptoBilis menghentikan sementara semua penjualan dan pengiriman selama penyelidikan berlangsung. Ledger menyarankan siapa pun yang membeli Ledger dari penjual kembali ini dalam 90 hari terakhir agar tidak memulai penyiapan jika mereka belum melakukannya.

Pada 10 Oktober, Ledger mengeluarkan pembaruan yang lebih serius:

“Ledger dapat mengonfirmasi bahwa perangkat milik salah satu pengguna yang terdampak berisi implan perangkat keras tanpa izin. Ledger menghubungi pengguna yang terdampak sebagai bagian dari penyelidikan yang sedang berlangsung. Jika Anda memiliki informasi terkait penyelidikan ini, silakan hubungi program bounty Ledger: bounty@ledger.fr.”

Dalam pembaruan 72 jam, Ledger mengatakan pihaknya bekerja sama dengan otoritas terkait dan jumlah perangkat yang terdampak terbatas. Ledger menambahkan:

“Hingga saat ini, semua kasus yang telah dikonfirmasi terkait insiden pengurasan dana yang diungkap pada 9 Oktober 2026 melibatkan perangkat yang dijual melalui penjual kembali CryptoBilis di Asia Tenggara. Sistem dan saluran penjualan langsung kami tidak terdampak.”

CryptoBilis menangguhkan penjualan seluruh inventaris dompet perangkat kerasnya selama peninjauan berlangsung.

Temuan Para Peneliti di Dalam Perangkat

Sebelum Ledger memberikan konfirmasi, para peneliti telah memeriksa unit yang telah dimodifikasi. Tibane Labs menerbitkan makalah teknis yang menjelaskan perangkat dengan mikrokontroler dan perangkat keras komunikasi seluler, yang terhubung ke jalur data internal layar. Menurut laporan keamanan, para peneliti, termasuk Joe Grand dari Grand Idea Studio dan tim Tibane Labs, merekayasa balik perangkat yang telah disusupi dan mengidentifikasi tiga versi implan tersebut.

Mekanisme yang dilaporkan adalah implan tersebut merekam frasa pemulihan saat pengguna menyiapkan perangkat. Frasa pemulihan terdiri dari 12 atau 24 kata yang mengendalikan dompet, sehingga siapa pun yang mendapatkannya dapat menguras isi dompet dari mana saja. Hal ini dapat menjelaskan mengapa para korban kehilangan dana tanpa pernah menyetujui transaksi apa pun.

Satu hal penting yang perlu diperhatikan: Ledger belum mengonfirmasi bahwa implan tersebut menyebabkan pencurian, dan mekanisme pastinya masih diselidiki. Teknik serangan ini dilaporkan oleh para peneliti, bukan dikonfirmasi oleh Ledger.

Pertanyaan tentang CryptoBilis

Pernyataan yang dibagikan kepada peneliti Mark Karpelès dan diterbitkan oleh Tibane Labs mengatakan bahwa CryptoBilis menyelesaikan transisi manajemen pada bulan Maret dan para penulisnya tidak lagi mengendalikan sistem atau basis data pelanggan perusahaan. Pernyataan tersebut tidak memastikan siapa yang memodifikasi perangkat atau kapan hal itu terjadi, dan pertanyaan tersebut masih belum terjawab.

Mengapa Ini Jenis Serangan yang Berbeda

Sebagian besar pencurian kripto tahun ini melibatkan peretasan bursa, eksploitasi kontrak pintar, atau phishing. Serangan ini menargetkan perangkat keras itu sendiri, bahkan sebelum pengguna menyentuhnya. Ini adalah serangan rantai pasokan: produk diubah di suatu titik antara pabrik dan meja Anda. Karena itulah serangan ini dapat mengelabui bahkan pengguna yang berhati-hati dan sudah melakukan segala sesuatunya dengan benar.

Serangan ini juga menargetkan kategori penyimpanan mandiri yang paling tepercaya. Dompet perangkat keras dipasarkan sebagai cara teraman untuk menyimpan kripto karena kunci privat tetap offline. Perangkat yang telah dimodifikasi merusak jaminan tersebut jika dibeli dari sumber yang tidak terverifikasi atau telah diubah.

Yang Harus Dilakukan Pengguna Ledger

Sesuai panduan Ledger dan praktik keamanan standar:

– Jika Anda membeli dari CryptoBilis dalam 90 hari terakhir dan belum menyiapkan perangkat: jangan nyalakan atau inisialisasi perangkat tersebut. – Jika Anda sudah menggunakan perangkat yang dibeli dari CryptoBilis: ganti perangkat dan frasa pemulihan, lalu pindahkan dana Anda ke dompet baru yang dibuat menggunakan perangkat tepercaya. – Untuk semua orang: beli dompet perangkat keras langsung dari produsen atau melalui saluran yang telah diverifikasi secara resmi, jangan pernah gunakan perangkat yang tiba dalam keadaan sudah diinisialisasi atau disertai frasa pemulihan yang sudah tertulis, dan pastikan segel kemasannya masih utuh. – Jika Anda memiliki informasi tentang kasus ini: Ledger meminta Anda menghubungi program bounty mereka di bounty@ledger.fr.

Langkah Selanjutnya

Penyelidikan masih berlangsung dan Ledger mengatakan bahwa pihaknya bekerja sama dengan penegak hukum. Beberapa pertanyaan penting masih belum terjawab: berapa banyak perangkat yang telah dimodifikasi, di bagian mana dalam rantai pasokan implan dipasang, dan apakah total kerugian akhir akan menyamai atau melampaui estimasi saat ini sebesar $86 juta hingga $93 juta. Nantikan temuan teknis lebih lanjut dari Tibane Labs dan peneliti lain, kemungkinan laporan forensik dari Ledger, serta pengawasan yang lebih ketat terhadap cara produsen dompet perangkat keras menyeleksi dan memantau penjual kembali mereka.