Di balik 8 juta unit terjual, ada orang yang menyelipkan sebuah chip yang bisa mengirim SMS sendiri ke dalam dompet hardware 🦖
🚨 行情变了群里说
Tim riset keamanan Ledger, Donjon, pada hari Selasa mengonfirmasi bahwa di sebagian perangkat penandatangan yang dijual melalui distributor Asia Tenggara CryptoBilis, tersembunyi sebuah modul implantasi hardware yang tidak berwenang. Modul ini khusus mengintai layar perangkat; begitu seed phrase muncul, ia membaca seluruh 24 kata lalu mengirimkannya secara real-time melalui jaringan LTE lewat eSIM bawaan ⚠️
Bagian paling gila dari rantai ini adalah: modul itu tidak menyentuh secure chip, tidak mengubah sistem, dan juga tidak mengubah tanda tangan transaksi. Di tanganmu, perangkat tampak normal; tapi koinnya sudah dibawa pergi oleh orang lain.
Angkanya jelas: modul implantasi ini adalah komponen terpisah, dengan catu daya mandiri, dan hanya bergantung pada layar. Saat ini perangkat terdampak yang dikonfirmasi resmi adalah satu unit. Detektif on-chain Specter melacak dugaan dana yang dicuri lebih dari 86 juta dolar AS; media keamanan lain menaikkan estimasinya menjadi 103 juta dolar AS, melintasi tiga jaringan: Ethereum, Tron, dan Bitcoin. Sementara itu, Ledger sendiri mengatakan telah menjual lebih dari 8 juta dompet hardware dalam sepuluh tahun 📉
Linimasa kejadian ini sangat singkat: pada Jumat, 9 Oktober, ada pengguna yang melaporkan kehilangan; Sabtu, pihak resmi mengonfirmasi bahwa satu perangkat memang telah diutak-atik; baru pada Selasa mekanisme serangannya diumumkan. Sekarang, jaringan ritel Eropa MediaMarkt sudah menarik produk Ledger dari rak, distributor CryptoBilis menghentikan penjualan sepenuhnya, dan bahkan Trezor serta OneKey pun cepat-cepat menjauh dari kasus ini.
Menurut saya, ini bukan kasus software yang diretas, melainkan rantai pasok yang dibongkar paksa. Nilai jual terbesar dompet hardware pada dasarnya adalah private key tidak pernah terhubung ke internet. Tapi kalau perangkat sudah dibuka orang sebelum sampai ke tanganmu, kalimat "tidak pernah terhubung ke internet" itu jadi omong kosong. Sebaliknya, ini juga menjelaskan mengapa semakin banyak institusi memilih menyerahkan dana ke kustodian; kamu mungkin bisa menjaga private key-mu sendiri, tapi belum tentu bisa menjaga mata rantai kurirnya.
Yang patut dipantau adalah: sudah ada white hat yang指出 bahwa jika pemeriksaan anti-rusak di tahap pabrik dan akuntabilitas peredarannya dilakukan dengan serius, biaya serangan semacam ini akan naik drastis. Jadi yang seharusnya benar-benar waspada bukan satu perusahaan tertentu, melainkan semua kanal perangkat keras yang tidak punya akuntabilitas end-to-end.
Yuk ngobrol di kolom komentar: sekarang kamu masih berani membacakan seed phrase dompet hardware-mu langsung ke diri sendiri?
Setiap hari menemanimu mengikuti hotspot keamanan kripto—bukan cuma melihat apa yang terjadi di berita, tapi juga memahami logika dan peluang di baliknya 👀🚀
🚨 行情变了群里说
Tim riset keamanan Ledger, Donjon, pada hari Selasa mengonfirmasi bahwa di sebagian perangkat penandatangan yang dijual melalui distributor Asia Tenggara CryptoBilis, tersembunyi sebuah modul implantasi hardware yang tidak berwenang. Modul ini khusus mengintai layar perangkat; begitu seed phrase muncul, ia membaca seluruh 24 kata lalu mengirimkannya secara real-time melalui jaringan LTE lewat eSIM bawaan ⚠️
Bagian paling gila dari rantai ini adalah: modul itu tidak menyentuh secure chip, tidak mengubah sistem, dan juga tidak mengubah tanda tangan transaksi. Di tanganmu, perangkat tampak normal; tapi koinnya sudah dibawa pergi oleh orang lain.
Angkanya jelas: modul implantasi ini adalah komponen terpisah, dengan catu daya mandiri, dan hanya bergantung pada layar. Saat ini perangkat terdampak yang dikonfirmasi resmi adalah satu unit. Detektif on-chain Specter melacak dugaan dana yang dicuri lebih dari 86 juta dolar AS; media keamanan lain menaikkan estimasinya menjadi 103 juta dolar AS, melintasi tiga jaringan: Ethereum, Tron, dan Bitcoin. Sementara itu, Ledger sendiri mengatakan telah menjual lebih dari 8 juta dompet hardware dalam sepuluh tahun 📉
Linimasa kejadian ini sangat singkat: pada Jumat, 9 Oktober, ada pengguna yang melaporkan kehilangan; Sabtu, pihak resmi mengonfirmasi bahwa satu perangkat memang telah diutak-atik; baru pada Selasa mekanisme serangannya diumumkan. Sekarang, jaringan ritel Eropa MediaMarkt sudah menarik produk Ledger dari rak, distributor CryptoBilis menghentikan penjualan sepenuhnya, dan bahkan Trezor serta OneKey pun cepat-cepat menjauh dari kasus ini.
Menurut saya, ini bukan kasus software yang diretas, melainkan rantai pasok yang dibongkar paksa. Nilai jual terbesar dompet hardware pada dasarnya adalah private key tidak pernah terhubung ke internet. Tapi kalau perangkat sudah dibuka orang sebelum sampai ke tanganmu, kalimat "tidak pernah terhubung ke internet" itu jadi omong kosong. Sebaliknya, ini juga menjelaskan mengapa semakin banyak institusi memilih menyerahkan dana ke kustodian; kamu mungkin bisa menjaga private key-mu sendiri, tapi belum tentu bisa menjaga mata rantai kurirnya.
Yang patut dipantau adalah: sudah ada white hat yang指出 bahwa jika pemeriksaan anti-rusak di tahap pabrik dan akuntabilitas peredarannya dilakukan dengan serius, biaya serangan semacam ini akan naik drastis. Jadi yang seharusnya benar-benar waspada bukan satu perusahaan tertentu, melainkan semua kanal perangkat keras yang tidak punya akuntabilitas end-to-end.
Yuk ngobrol di kolom komentar: sekarang kamu masih berani membacakan seed phrase dompet hardware-mu langsung ke diri sendiri?
Setiap hari menemanimu mengikuti hotspot keamanan kripto—bukan cuma melihat apa yang terjadi di berita, tapi juga memahami logika dan peluang di baliknya 👀🚀