Ledger tengah menyelidiki laporan kehilangan aset kripto dari sejumlah pengguna yang membeli dompet perangkat keras (hardware wallet) dari CryptoBilis, reseller resmi perusahaan tersebut di Indonesia, Malaysia, dan Filipina. Peneliti on-chain memperkirakan nilai aset yang mungkin dicuri berada di kisaran US$72 juta hingga US$86 juta. Produsen dompet hardware itu menyatakan tidak ada indikasi bahwa infrastruktur, sistem, maupun layanannya sendiri ikut dikompromikan, namun para pengguna ramai mengeluhkan kerugian besar di platform X.
Ledger Selidiki Laporan Pelanggan CryptoBilis
Kanal dukungan resmi Ledger di X mengonfirmasi bahwa pihaknya sedang menyelidiki laporan pengguna dari kalangan pelanggan CryptoBilis, yang terdaftar sebagai reseller resmi di Indonesia, Malaysia, dan Filipina. Ledger pun meminta CryptoBilis menghentikan sementara seluruh penjualan dan pengiriman perangkat untuk saat ini.
Yang tak kalah penting, pernyataan tersebut mengimbau siapa pun yang membeli perangkat dari reseller itu dalam 90 hari terakhir dan belum menyelesaikan instalasi agar tidak memulai proses penyiapan saat ini. Pelanggan yang sudah menggunakan perangkat semacam itu disarankan mempertimbangkan untuk memindahkan aset mereka ke Ledger signer baru dengan menggunakan frasa seed yang baru dihasilkan.
Hingga kini, rincian mengenai apa yang sebenarnya terjadi masih minim. Sebagian pengguna, seperti Edward Winz, secara terbuka mengaku menjadi korban insiden ini, dengan laporan kerugian mencapai US$1 juta.
Estimasi Kerugian dan Dugaan Serangan Rantai Pasokan
Penyelidik on-chain tanuki42 melacak lebih dari US$72 juta ke alamat yang diduga terkait pencurian, sementara penyelidik lain, Specter, memperkirakan kerugian melampaui US$86 juta yang mencakup BTC, ETH, dan TRX. Akun resmi Ledger tidak mengonfirmasi angka mana pun, dan belum jelas apakah kedua estimasi tersebut mencakup transaksi yang sama. MistTrack mencatat kerugian bisa mendekati US$90 juta, sementara Tether dilaporkan membekukan USDT yang tersimpan di alamat yang terhubung dengan insiden ini.
Co-founder Binance, Changpeng Zhao, menilai informasi yang tersedia saat ini mengarah pada serangan rantai pasokan yang terlokalisasi dan melibatkan satu vendor, dengan sejumlah kecil pelanggan berpotensi menerima perangkat Ledger palsu atau yang dimodifikasi secara fisik.
Mantan CEO Mt. Gox, Mark Karpeles, menambahkan bahwa dirinya telah memeriksa perangkat Ledger yang dimodifikasi dan mengandung implan perangkat keras tersembunyi. Ia meminta CryptoBilis membuka unit dari inventarisnya untuk melihat apakah komponen serupa juga terdapat di sana. Menurutnya, implan yang ia periksa dapat memantau komunikasi internal yang digunakan untuk menampilkan kata pemulihan, sehingga berpotensi memungkinkan penyerang menangkap frasa seed meskipun Secure Element asli milik Ledger tetap utuh.
Ledger menegaskan bahwa laporan-laporan tersebut tampaknya terbatas pada produk yang dijual melalui CryptoBilis dan menegaskan kembali bahwa pihaknya tidak menemukan indikasi bahwa infrastruktur, sistem, atau layanan keamanan Ledger telah dikompromikan.
Sorotan pada Keamanan Rantai Pasokan
Insiden yang menimpa Ledger ini muncul hanya sebulan setelah pesaing terbesarnya, Trezor, mengalami masalah serupa, dengan informasi pribadi lebih dari 80.000 pengguna di Amerika Serikat dikompromikan.
Kasus ini menyoroti risiko yang melekat pada rantai pasokan perangkat kripto, di mana keamanan tidak hanya bergantung pada perangkat keras itu sendiri, tetapi juga pada integritas jalur distribusi sebelum perangkat tiba di tangan pengguna. Imbauan Ledger agar pelanggan tertentu membuat frasa seed baru menunjukkan bahwa langkah mitigasi utama saat ini adalah memastikan tidak ada seed phrase yang pernah terekspos pada perangkat yang berpotensi dimodifikasi.
Meski penyelidikan masih berjalan dan angka pasti kerugian belum dikonfirmasi secara resmi, insiden ini menambah tekanan pada industri dompet kripto untuk memperketat pengawasan terhadap mitra reseller serta memperkuat verifikasi keaslian perangkat di sepanjang rantai distribusi.
