Sebuah chip tersembunyi di dalam casing dompet. Cukup lirik layar saat menyiapkan perangkat, 24 kata itu dikirim melalui jaringan seluler—dan dana senilai US$86 juta diduga menguap begitu saja 🦖
⚡ 有大动静群里说
Pada 13 Oktober, Ledger, perusahaan besar dompet perangkat keras, meminta para distributor di enam negara—Indonesia, Singapura, Thailand, Filipina, Vietnam, dan Malaysia—serta Hong Kong untuk menghentikan penjualan. Semua perangkat di rak diminta ditarik. Alasannya: Ledger sendiri telah memastikan ada perangkat yang telah dimanipulasi ⚠️
Bagian paling licik dari chip ini adalah ia tidak menyentuh firmware maupun chip keamanan penyimpan kunci. Ia hanya melakukan satu hal: mengintip layar saat kamu membuka kotak dan menyiapkan perangkat. Begitu 24 kata frasa pemulihan muncul, chip itu menguraikan kata-katanya lalu mengirimkannya melalui jaringan LTE menggunakan eSIM bawaan. Artinya, tampilan perangkat, kemasan, dan verifikasi tanda tangan semuanya tampak normal. Kamu sama sekali tak akan menyadarinya 🔐
Masalah ini bermula pada 9 Oktober, ketika muncul kabar bahwa perangkat yang dijual oleh distributor Asia Tenggara CryptoBilis bermasalah. Pada 10 Oktober, Ledger secara resmi mengonfirmasi bahwa salah satu perangkat telah disusupi. Penyelidik blockchain Specter melacak dugaan pencurian lebih dari US$86 juta di tiga jaringan: Ethereum, Tron, dan Bitcoin. Dua peneliti lainnya memperkirakan jumlahnya berada di kisaran US$72 juta hingga US$86 juta. Namun, Ledger menegaskan bahwa mereka belum memverifikasi jumlah korban maupun total kerugian.
Efek berantainya kini meluas ke seluruh industri. MediaMarkt, jaringan ritel elektronik besar di Eropa, mengumumkan akan menarik semua produk Ledger dari toko fisik maupun platform daring. Pesaingnya, Trezor, juga mengumumkan pada hari yang sama, 13 Oktober, bahwa mereka akan mengurangi jumlah distributor resmi mulai 1 Januari 2027 dan langsung menghentikan pasokan ke saluran tersebut. Trezor menegaskan bahwa tidak ada bukti perangkatnya telah diretas. Langkah ini diambil karena insiden rantai pasokan yang terjadi belakangan ini 💥
Menurut saya, yang ditembus kali ini bukanlah algoritma kriptografi, melainkan mata rantai terakhir dalam model bisnis dompet perangkat keras: rantai distribusi. Selama ini industri mengatakan dompet perangkat keras paling aman karena kuncinya tersimpan secara luring dan perangkatnya kamu beli sendiri melalui jalur resmi dari produsennya. Namun, kejadian ini justru membuktikan bahwa jika seseorang bisa menyusup ke mata rantai distributor, perangkat yang tampak baru, kemasannya utuh, dan firmwarenya normal pun bisa saja sudah dipasangi mata-mata.
Yang lebih merepotkan, kamu tidak bisa membuktikan perangkatmu aman dengan cara-cara biasa. Firmware yang diubah bisa diperiksa lewat tanda tangan digital, dan chip yang diganti bisa dilacak lewat nomor seri. Namun, jika ada perangkat eksternal terpisah yang hanya membaca layar dan mengirim pesan, perangkat tetap berfungsi seperti biasa. Itulah mengapa Ledger hanya bisa merespons dengan menghentikan penjualan di seluruh kawasan tersebut—bahkan mereka sendiri belum tahu di titik mana dalam jalur distribusi penyusupan itu terjadi.
Bagi pemilik aset kripto biasa, ada tiga hal yang patut dipantau selanjutnya. Pertama, apakah hasil investigasi akan berdampak pada pasar di luar Asia Tenggara. Kedua, apakah pengetatan saluran distribusi akan mendorong peningkatan pembelian langsung dari produsen. Ketiga, apakah skema multisig akan beralih dari konfigurasi untuk institusi menjadi standar bagi pengguna individu. Dengan menggunakan perangkat dari produsen berbeda untuk membuat multisig, satu perangkat yang diretas saja tidak cukup untuk memindahkan uang.
Yuk, bahas di kolom komentar: dompet perangkat kerasmu dibeli dari kanal resmi atau pihak ketiga? Setelah membuka segelnya, apa yang kamu periksa?
Setiap hari, saya mengajakmu mengikuti topik hangat dunia kripto—bukan sekadar melihat apa yang terjadi, tetapi juga memahami logika dan peluang di baliknya 👀🚀
⚡ 有大动静群里说
Pada 13 Oktober, Ledger, perusahaan besar dompet perangkat keras, meminta para distributor di enam negara—Indonesia, Singapura, Thailand, Filipina, Vietnam, dan Malaysia—serta Hong Kong untuk menghentikan penjualan. Semua perangkat di rak diminta ditarik. Alasannya: Ledger sendiri telah memastikan ada perangkat yang telah dimanipulasi ⚠️
Bagian paling licik dari chip ini adalah ia tidak menyentuh firmware maupun chip keamanan penyimpan kunci. Ia hanya melakukan satu hal: mengintip layar saat kamu membuka kotak dan menyiapkan perangkat. Begitu 24 kata frasa pemulihan muncul, chip itu menguraikan kata-katanya lalu mengirimkannya melalui jaringan LTE menggunakan eSIM bawaan. Artinya, tampilan perangkat, kemasan, dan verifikasi tanda tangan semuanya tampak normal. Kamu sama sekali tak akan menyadarinya 🔐
Masalah ini bermula pada 9 Oktober, ketika muncul kabar bahwa perangkat yang dijual oleh distributor Asia Tenggara CryptoBilis bermasalah. Pada 10 Oktober, Ledger secara resmi mengonfirmasi bahwa salah satu perangkat telah disusupi. Penyelidik blockchain Specter melacak dugaan pencurian lebih dari US$86 juta di tiga jaringan: Ethereum, Tron, dan Bitcoin. Dua peneliti lainnya memperkirakan jumlahnya berada di kisaran US$72 juta hingga US$86 juta. Namun, Ledger menegaskan bahwa mereka belum memverifikasi jumlah korban maupun total kerugian.
Efek berantainya kini meluas ke seluruh industri. MediaMarkt, jaringan ritel elektronik besar di Eropa, mengumumkan akan menarik semua produk Ledger dari toko fisik maupun platform daring. Pesaingnya, Trezor, juga mengumumkan pada hari yang sama, 13 Oktober, bahwa mereka akan mengurangi jumlah distributor resmi mulai 1 Januari 2027 dan langsung menghentikan pasokan ke saluran tersebut. Trezor menegaskan bahwa tidak ada bukti perangkatnya telah diretas. Langkah ini diambil karena insiden rantai pasokan yang terjadi belakangan ini 💥
Menurut saya, yang ditembus kali ini bukanlah algoritma kriptografi, melainkan mata rantai terakhir dalam model bisnis dompet perangkat keras: rantai distribusi. Selama ini industri mengatakan dompet perangkat keras paling aman karena kuncinya tersimpan secara luring dan perangkatnya kamu beli sendiri melalui jalur resmi dari produsennya. Namun, kejadian ini justru membuktikan bahwa jika seseorang bisa menyusup ke mata rantai distributor, perangkat yang tampak baru, kemasannya utuh, dan firmwarenya normal pun bisa saja sudah dipasangi mata-mata.
Yang lebih merepotkan, kamu tidak bisa membuktikan perangkatmu aman dengan cara-cara biasa. Firmware yang diubah bisa diperiksa lewat tanda tangan digital, dan chip yang diganti bisa dilacak lewat nomor seri. Namun, jika ada perangkat eksternal terpisah yang hanya membaca layar dan mengirim pesan, perangkat tetap berfungsi seperti biasa. Itulah mengapa Ledger hanya bisa merespons dengan menghentikan penjualan di seluruh kawasan tersebut—bahkan mereka sendiri belum tahu di titik mana dalam jalur distribusi penyusupan itu terjadi.
Bagi pemilik aset kripto biasa, ada tiga hal yang patut dipantau selanjutnya. Pertama, apakah hasil investigasi akan berdampak pada pasar di luar Asia Tenggara. Kedua, apakah pengetatan saluran distribusi akan mendorong peningkatan pembelian langsung dari produsen. Ketiga, apakah skema multisig akan beralih dari konfigurasi untuk institusi menjadi standar bagi pengguna individu. Dengan menggunakan perangkat dari produsen berbeda untuk membuat multisig, satu perangkat yang diretas saja tidak cukup untuk memindahkan uang.
Yuk, bahas di kolom komentar: dompet perangkat kerasmu dibeli dari kanal resmi atau pihak ketiga? Setelah membuka segelnya, apa yang kamu periksa?
Setiap hari, saya mengajakmu mengikuti topik hangat dunia kripto—bukan sekadar melihat apa yang terjadi, tetapi juga memahami logika dan peluang di baliknya 👀🚀