Implan berbahaya pada dompet Ledger yang dijual CryptoBilis merekam frasa pemulihan pengguna dari layar perangkat dan mengirimkannya melalui jaringan seluler, kata produsen dompet perangkat keras asal Prancis itu.
Ledger Donjon, tim riset keamanan perusahaan itu, menemukan bahwa implan tersebut menggunakan mikrokontroler untuk menguraikan frasa 24 kata yang ditampilkan selama penyiapan, lalu mengirimkan data melalui jaringan LTE menggunakan kartu SIM tertanam (eSIM), menurut unggahan Ledger di X pada Selasa.
Ledger mengatakan implan tersebut tidak membobol cip keamanan perangkat ataupun mengubah transaksi.
Insiden ini terungkap pada Jumat setelah dilaporkan adanya kerugian kripto yang melibatkan perangkat Ledger yang dijual melalui CryptoBilis, penjual kembali yang tercatat sebagai penjual resmi di Indonesia, Malaysia, dan Filipina.
Ledger mengonfirmasi pada Sabtu bahwa salah satu perangkat yang terdampak berisi implan tanpa izin. Penyelidik blockchain Specter mengatakan kerugian dapat melampaui $86 juta, sementara media keamanan siber Yfarmx menaikkan estimasinya menjadi $103 juta. Ledger belum mengonfirmasi total kerugian.
Ledger mengatakan telah menjual lebih dari 8 juta dompet perangkat keras, yaitu perangkat yang menyimpan kunci privat pengguna secara luring dan memungkinkan mereka menyetujui transaksi langsung di perangkat.
Ledger menyelidiki implan di luar CryptoBilis
Ledger mengimbau pengguna yang mencurigai perangkatnya telah dirusak untuk menghubungi tim dukungannya dan membuat laporan polisi.
Ledger mengarahkan pelanggan yang khawatir dan membeli perangkat di tempat lain ke panduan pemeriksaan. Panduan itu memperingatkan bahwa membuka perangkat dapat merusaknya dan menyarankan pengguna mencadangkan frasa pemulihan terlebih dahulu.
Meski sejauh ini kerugian yang terkonfirmasi melibatkan perangkat yang dijual CryptoBilis, Ledger mengatakan sedang memeriksa laporan di luar jaringan penjual kembali tersebut.
Secara terpisah, pengguna X bernama Johannes mengunggah foto dua perangkat Ledger yang katanya dibeli dari dua toko MediaMarkt yang berbeda, sebuah jaringan elektronik konsumen di Eropa. Ia mengatakan menemukan implan pada kedua perangkat tersebut. Ledger belum mengonfirmasi apakah laporan dari Eropa itu terkait dengan insiden CryptoBilis.
CryptoBilis menghentikan seluruh penjualan dompet setelah Trezor dan OneKey memutus hubungan
Dalam unggahan di X pada Sabtu, CryptoBilis mengatakan telah menangguhkan penjualan dan pengiriman semua merek dompet perangkat keras di Malaysia, Filipina, dan Indonesia. Langkah ini memperluas penghentian sebelumnya yang hanya berlaku untuk perangkat Ledger.
Penjual kembali tersebut juga menutup sementara toko fisiknya dan mengatakan sedang meninjau prosesnya bersama para ahli independen.
Trezor mengatakan pada Senin bahwa pihaknya tidak menerima laporan mengenai perangkat Trezor yang dirusak dan dijual melalui CryptoBilis, serta tidak menemukan indikasi bahwa produknya terdampak. Meski demikian, Trezor menghapus CryptoBilis dari jaringan penjual kembali resminya.
OneKey juga melaporkan tidak ada kerugian pengguna terkait, tetapi mencabut otorisasi CryptoBilis sebagai penjual kembali. Perusahaan itu juga menangguhkan penerimaan penjual kembali baru dan mulai meninjau jaringan distribusinya yang sudah ada. OneKey menawarkan penggantian gratis untuk perangkatnya yang dibeli dari CryptoBilis antara 1 Maret dan 12 Oktober 2026. Pelanggan dapat mengajukan permohonan hingga 31 Desember.
Majalah: Prancis adalah tempat paling berbahaya di dunia bagi para Bitcoiner: 90 serangan dalam 7 bulan