• Ledger memerintahkan penjual kembali di enam pasar Asia Tenggara dan Hong Kong untuk menghentikan penjualan dan menarik perangkat.

• Bitquery melacak kerugian sekitar US$102 juta di 324 dompet hingga 13 Oktober.

• Papan sirkuit tersembunyi membaca kunci pemulihan 24 kata dan mengirimkannya melalui modul LTE dengan eSIM.

Penghentian Penjualan di Seluruh Asia Tenggara

Ledger telah memerintahkan distributor dan penjual kembali di Indonesia, Singapura, Thailand, Filipina, Vietnam, Malaysia, dan Hong Kong untuk segera berhenti menjual dompet perangkat kerasnya serta menarik perangkat tersebut dari rak toko fisik dan etalase daring sampai penyelidikannya selesai. Perintah ini memperluas penghentian penjualan yang sebelumnya hanya berlaku bagi distributor CryptoBilis, sementara perusahaan masih belum memastikan pada titik mana dalam rantai pasokan terjadi manipulasi. Ledger menyebut penangguhan regional ini sebagai langkah pencegahan: sejauh ini, Ledger belum menemukan tanda-tanda penyusupan ke sistem internal, perangkat lunak, firmware, atau saluran penjualan langsung yang dikelolanya secara resmi.

Yang telah dikonfirmasi perusahaan adalah cara kerja unit yang telah disusupi. Papan sirkuit tanpa izin disembunyikan di dalam casing dan di bawah layar. Saat pembeli menyiapkan perangkat untuk pertama kalinya dan layar menampilkan frasa pemulihan Ledger yang terdiri dari 24 kata, mikrokontroler di dalam implan membaca teks di layar dan meneruskannya melalui modul LTE yang dilengkapi eSIM yang telah dikonfigurasi sebelumnya. Dengan memegang frasa pemulihan itu, penyerang dapat memulihkan dompet di perangkat keras yang mereka kendalikan, tanpa perlu menyentuh perangkat korban lagi atau membujuk siapa pun untuk menandatangani transaksi. Implan tersebut tidak menembus Secure Element, sistem operasi Ledger, ataupun proses penandatanganan transaksi. Karena itulah, unit yang telah dimodifikasi tetap dapat lolos Genuine Check: fungsi ini membuktikan bahwa chip keamanan tersebut autentik, tetapi tidak dapat mendeteksi sirkuit yang ditambahkan di sekelilingnya. Kerugian terus meningkat. Perusahaan analitik on-chain Bitquery melaporkan bahwa hingga 13 Oktober, sekitar $102 juta telah dikuras dari 324 dompet di jaringan Tron, Bitcoin, Ethereum, Solana, BNB Chain, dan Polygon—naik dari perkiraan sebelumnya sebesar $86 juta hingga $93 juta. Tether telah membekukan sekitar $10 juta dalam bentuk USDT di 20 alamat, sementara sekitar $84 juta masih dapat dilacak secara on-chain. Para penyerang telah mengirim sekitar 6.840 ETH ke Tornado Cash, sebuah layanan pencampur kripto, dan menyalurkan dana lainnya melalui Zcash serta layanan atomic swap seperti THORChain, sehingga pelacakan dan pemulihan menjadi lebih sulit. Ledger belum memverifikasi jumlah korban ataupun angka akhir; $102 juta merupakan perkiraan independen berdasarkan data on-chain.

Jejaknya bermula pada 9 Oktober, saat laporan mengaitkan dana yang dicuri dengan dompet yang dibuat menggunakan perangkat yang dibeli melalui CryptoBilis. Pada hari-hari berikutnya, pengguna di tempat lain, termasuk di pasar Eropa, melaporkan bahwa unit yang dibeli melalui saluran ritel biasa juga tampaknya telah dimodifikasi. Pada Selasa, Ledger menyatakan dalam pembaruan yang diunggah di X bahwa penyelidikan masih berlangsung dan bertujuan mengidentifikasi siapa yang menangani perangkat tersebut serta pada tahap mana di rantai pasok modifikasi itu terjadi. Perintah penangguhan tersebut mencakup penjual kembali di tujuh pasar yang disebutkan dan lebih luas daripada tuntutan sebelumnya agar CryptoBilis menghentikan penjualan dan pengiriman. Ledger menyatakan tidak memiliki bukti bahwa infrastruktur, sistem internal, layanan, atau saluran resmi langsungnya telah dibobol, dan bahwa insiden yang sejauh ini terkonfirmasi terbatas di Asia Tenggara; perusahaan belum menemukan kaitan antara perangkat yang dibeli di wilayah lain dan pencurian. Sejumlah pertanyaan masih belum terjawab: perusahaan belum memublikasikan temuan lengkap, belum memastikan berapa banyak perangkat yang terdampak, dan belum menyatakan apakah sumbernya adalah manufaktur, distribusi, atau ritel. Keluhan konsumen semakin menambah tekanan. Peneliti on-chain 0xQuit menduga CryptoBilis mungkin bukan satu-satunya saluran tempat unit yang telah dimodifikasi beredar, dan mendesak pemilik untuk memeriksa perangkat mereka. Namun, Ledger belum mengonfirmasi dugaan tersebut, dan membongkar unit yang masih tersegel bukanlah prosedur deteksi resmi. Seorang pengguna melaporkan membeli Ledger Flex dari sebuah toko di Bandara Changi Singapura pada akhir Juni, membiarkan kotaknya tetap tersegel, tetapi tetap menemukan antena, baterai, eSIM, dan modul LTE lengkap di dalamnya. Seorang pengacara yang berbasis di Singapura secara terbuka mendesak perusahaan untuk memberikan panduan konsumen yang lebih jelas dan cepat daripada sekadar tiket dukungan standar, dengan merujuk pada perangkat yang diduga dibeli dari peritel elektronik lokal besar. Belum ada rencana kompensasi terpadu yang diumumkan.

Mengapa Satu Kawasan, Bukan Satu Batch

Menurut analisis kami, peralihan dari satu distributor ke tujuh pasar menunjukkan bahwa Ledger masih belum dapat menentukan titik terjadinya modifikasi. Jika perusahaan telah mengidentifikasi satu batch yang bermasalah, yang akan ditarik adalah batch tersebut, bukan seluruh kawasan. Titik buta pada Genuine Check adalah masalah yang lebih mendasar: verifikasi kriptografis terhadap chip aman tidak dapat mendeteksi sirkuit tambahan, sehingga pemeriksaan fisik tetap menjadi satu-satunya tes andal yang dapat dilakukan konsumen. Pemilik unit yang belum dibuka sebaiknya tidak menyiapkannya. Mereka yang sudah menyiapkan perangkat sebaiknya memindahkan aset ke perangkat bersih dengan frasa pemulihan baru yang dibuat secara acak, alih-alih memulihkannya menggunakan 24 kata yang lama. Siapa pun yang meminta frasa pemulihan itu melalui telepon atau pesan pribadi sedang berupaya melakukan penipuan, karena Ledger menyatakan tidak pernah memintanya dengan cara tersebut. Pembaca yang sedang menyiapkan perangkat pengganti juga dapat membaca panduan kami untuk melakukan staking Cardano (ADA) dengan dompet perangkat keras Ledger.