Polisi Singapura mendeteksi komponen perangkat keras berbahaya di sejumlah dompet kripto Ledger yang dibeli di toko-toko di negara kota tersebut.
Setidaknya dua kasus telah dilaporkan sejak 10 September, dengan kerugian sekitar S$3,5 juta, atau ~$2,7 juta.
SPF menyebutkan komponen tersebut dapat menangkap frasa pemulihan dan kunci
Kepolisian Singapura menyoroti perangkat tersebut dalam imbauan pada Rabu. Investigasi awal menemukan bahwa beberapa komponen dapat digunakan untuk menangkap frasa pemulihan atau kunci privat.
Orang-orang yang tidak berwenang kemudian dapat membuka dompet tersebut dan memindahkan aset tanpa sepengetahuan atau persetujuan pemiliknya. Imbauan itu tidak menyebutkan nama toko mana pun.
Polisi sedang berkoordinasi dengan Ledger, yang menyelidiki kasus-kasus yang terdampak. Investigasi mereka sendiri masih berlanjut.
Imbauan Kepolisian Singapura mengenai dompet perangkat keras Ledger yang telah dimanipulasi, diterbitkan di situs webnya pada 28 Oktober 2026.
Polisi memperingatkan pengguna agar tidak memasukkan frasa pemulihan dan tidak melakukan transaksi di perangkat yang mereka curigai mungkin telah disusupi.
Kepolisian juga memperingatkan agar tidak memberikan kunci atau frasa seed kepada siapa pun, termasuk orang yang menyamar sebagai penyedia dompet, bursa, atau polisi.
Laporan-laporan muncul sekitar sebulan sebelum peringatan CryptoBilis pada 9 Oktober
Laporan pertama dari Singapura diajukan sekitar sebulan sebelum insiden yang lebih luas itu diumumkan kepada publik pada 9 Oktober. Pada hari itu, Ledger meminta agar penjualan dan pengiriman dari CryptoBilis, reseller resmi di Indonesia, Malaysia, dan Filipina, dihentikan.
Saat itu, Cryptopolitan melaporkan bahwa Bitcoin, Ethereum, dan Tron senilai lebih dari $86 juta diduga dicuri dari dompet yang dijual toko tersebut. Ledger belum mengonfirmasi jumlah itu.
Pada 10 Oktober, Ledger mengatakan bahwa pihaknya menemukan implan perangkat keras tanpa izin di perangkat seorang pelanggan. Chip yang diselipkan di dalam casing Nano X itu membaca frasa pemulihan 24 kata dari layar saat penyiapan, lalu mengirimkannya melalui SIM bawaan menggunakan LTE.
Tim keamanan Donjon di Ledger mengatakan chip tersebut tidak memengaruhi Secure Element, sistem operasi, maupun proses penandatanganan. Karena itulah chip tersebut tidak pernah memicu uji autentikasi “Genuine Check” milik perusahaan.
Pada hari-hari berikutnya, dua klaim dari Singapura terungkap. Mantan CEO Mt. Gox, Mark Karpelès, mengatakan bahwa ia membeli Ledger Flex di bandara Singapura yang telah dipasangi implan mata-mata.
Seorang pemilik mengatakan bahwa unit yang dibeli dari peritel teknologi lokal Challenger telah dimanipulasi dan Ledger kemudian mengirimkan penggantinya. Pada 13 Oktober, Ledger meminta peritel di Indonesia, Singapura, Thailand, Filipina, Vietnam, Malaysia, dan Hong Kong untuk menghentikan penjualan produknya.
Dalam unggahan pada 28 Oktober, Ledger mengatakan bahwa semua kerugian yang telah dikonfirmasi terjadi pada perangkat yang dijual melalui sejumlah kecil reseller. Ledger belum mengonfirmasi adanya pengurasan dana yang terkait dengan perangkat yang dibeli di luar Asia Tenggara, dan tidak melihat indikasi bahwa infrastruktur, sistem, atau saluran penjualan langsungnya telah disusupi.
“Angka-angka yang beredar di internet berasal dari pihak ketiga dan belum sepenuhnya diverifikasi oleh Ledger,” kata Ledger pada 22 Oktober.
Solusi Ledger yang lebih permanen adalah Atom, perangkat seharga $849 yang diperkenalkan perusahaan dalam acara Op3n di Paris pada 15 Oktober. Atom baru akan dikirim paling cepat pada musim panas 2027, dan perlindungan anti-manipulasinya tidak akan dipasang pada unit Nano, Flex, dan Stax yang sudah beredar.
Para pemikir paling cerdas di dunia kripto sudah membaca buletin kami. Mau ikut bergabung? Bergabunglah dengan mereka.