Ledger mengumumkan pada 15 Oktober 2026 bahwa mereka akan menerapkan persyaratan keamanan baru untuk retailer resmi mereka. Sebelumnya, penyerang memasang komponen elektronik tersembunyi di dalam dompet kripto asli untuk mencuri frasa pemulihan pengguna dan mengakses dana mereka.
Ledger menyatakan bahwa perusahaan telah memperketat aturan pengecer setelah para penjahat memodifikasi dompet perangkat keras asli untuk mencuri cryptocurrency.
- Komponen tersembunyi akan menangkap frasa pemulihan dompet selama proses pengaturan perangkat dan mengirimkan informasi sensitif melalui jaringan seluler.
- Ledger sementara menghentikan penjualan reseller yang diizinkan di Asia Tenggara dan Hong Kong selama penyelidikan perangkat yang terdampak.
- Tim keamanan telah memeriksa peralatan ritel dan gudang, dan menyatakan bahwa tidak ditemukan peralatan yang terdampak dalam sampel yang diuji.
- Ledger telah meminta pengecer untuk menghentikan pameran dompet dan melarang penjualan ulang perangkat yang dikembalikan tanpa pengecualian.
Pembuat dompet perangkat keras ini mengonfirmasi bahwa penyerang membeli perangkat legal, memodifikasinya, lalu melewatkan kembali ke pasar melalui saluran distribusi di Asia Tenggara. Ledger telah menghentikan penjualan ulang di wilayah tersebut, memeriksa perangkat dari toko ritel dan gudang, serta mulai bekerja sama dengan pihak berwenang untuk menelusuri dana yang dicuri.
Perusahaan menyatakan bahwa sistem internal, perangkat lunak operasional, dan chip keamanannya tidak disusupi. Para penyelidik terus memastikan cakupan lengkap serangan ini, termasuk bagaimana perangkat yang dimodifikasi tersebut masuk ke pasar.
Serangan pada dompet Ledger melibatkan komponen penyamaran frasa pemulihan tersembunyi
Investigasi Ledger menemukan bahwa pelaku telah mempersiapkan serangan ini selama beberapa bulan. Mereka membeli hardware wallet asli, membongkar perangkat, dan memasang komponen elektronik khusus untuk menangkap frasa pemulihan selama proses pengaturan.
Frase pemulihan biasanya berisi 24 kata, yang memungkinkan pengguna memulihkan akses ke dompet kripto. Siapa pun yang mendapatkan kata-kata ini dapat membuat ulang dompet tersebut di perangkat lain dan memindahkan asetnya.
Penyerang memanfaatkan momen ketika frasa pemulihan muncul di layar perangkat. Komponen tersembunyi mengumpulkan kata-kata tersebut dan mengirimkannya ke infrastruktur yang dikendalikan oleh penjahat.
Pada pembaruan teknis tanggal 13 Oktober, tim keamanan Donjon dari Ledger menjelaskan bahwa malware ini menggunakan mikrokontroler untuk membaca frasa dan mengirimkan informasi melalui koneksi LTE seluler melalui kartu SIM tertanam.
Perusahaan menyatakan bahwa komponen tersebut berjalan secara independen dari Secure Element yang melindungi informasi kripto sensitif. Para penyelidik tidak menemukan bukti bahwa komponen jahat mengubah sistem operasi atau mengubah tanda tangan transaksi.
Penyelidikan sebelumnya terhadap chip tersembunyi di dompet Ledger mencatat bagaimana komponen elektronik yang tidak sah dapat mengekspos frasa pemulihan tanpa mengubah fungsi tanda tangan normal perangkat.
Ledger dalam pernyataan terbarunya menggambarkan ini sebagai aksi kriminal terorganisasi yang melibatkan pembelian perangkat, pengaturan distribusi, serta infrastruktur yang digunakan untuk mengumpulkan kredensial dompet yang dicuri.
Produsen ini menyatakan bahwa kelompok tersebut menghabiskan jutaan dolar untuk serangan ini, tetapi tidak memberikan rincian keuangan maupun mengidentifikasi pihak terkait.
Dilaporkan bahwa pelaku menggunakan frasa pemulihan yang dikumpulkan untuk mengakses beberapa dompet dalam serangan kolaboratif pada 9 Oktober.
Meskipun para penyelidik blockchain independen memperkirakan kerugian melebihi $86 juta, Ledger belum memverifikasi total pencurian atau jumlah pelanggan yang terdampak.
Ledger menangguhkan penjualan dompet di wilayah Asia Tenggara
Setelah menemukan masalah, Ledger meminta dealer dan distributor resmi di Asia Tenggara dan Hong Kong untuk menghentikan penjualan perangkat hingga pihak investigasi memeriksa saluran distribusi yang terdampak.
Wilayah yang dibatasi meliputi Indonesia, Singapura, Thailand, Filipina, Vietnam, Malaysia, dan Hong Kong.
Seorang reseller di Asia Tenggara, CryptoBilis, sebelumnya pernah dikaitkan dengan kasus terkonfirmasi yang melibatkan perangkat yang dimanipulasi.
Setelah ada pelanggan yang melaporkan kerugian dana, perusahaan tersebut pernah menghentikan penjualan hardware wallet.
Laporan sebelumnya tentang penyelidikan dompet CryptoBilis mencatat temuan Ledger mengenai komponen yang tidak sah serta tanggapan awalnya terhadap keluhan pelanggan.
Setelah menerima laporan yang melibatkan lokasi lain, Ledger selanjutnya memperluas tindakan pencegahan di luar penjual ulang tersebut.
Di Jerman, MediaMarkt Saturn menghentikan penjualan perangkat Ledger melalui toko fisik dan platform online setelah perangkat seorang pelanggan dilaporkan mengandung implant.
Ledger menyatakan bahwa kasus di Jerman tidak menyebabkan kerugian dana pelanggan yang terkonfirmasi.
Peristiwa ini mendorong penjualan dompet Ledger di Jerman juga dihentikan secara terpisah, sambil perusahaan meninjau perangkat dan menyelidiki situasi terkait.
Dalam pembaruan pada 15 Oktober, Ledger menyatakan bahwa para penyelidik telah membeli perangkat dari toko-toko di berbagai pasar, termasuk Jerman, dan membukanya untuk pemeriksaan fisik.
Perusahaan juga memeriksa sampel gudang dan menyaring sebagian dari stoknya sendiri.
Ledger menyatakan bahwa sampel yang diuji dalam pemeriksaan ini tidak menemukan komponen yang tidak sah.
Namun, perusahaan tidak mengungkapkan berapa banyak perangkat yang diperiksa, sehingga total produk yang berpotensi terdampak belum dikonfirmasi.
Ledger menggambarkan insiden ini sebagai "serangan distribusi sebagian" dan menegaskan bahwa sistem produksinya bukan penyebab kerusakan tersebut.
Investigasi belum secara tepat menentukan di mana masing-masing perangkat yang terdampak dimodifikasi.
Ledger meluncurkan aturan baru untuk pengecer dompet perangkat keras
Sebagai bagian dari tindakan respons, Ledger telah meminta pengecer resmi untuk mengubah cara penyimpanan dan penjualan hardware wallet.
Retailer harus menghentikan penempatan perangkat Ledger di rak dan meja display. Sebagai gantinya, mereka harus menyimpan produk di area gudang dan hanya menyerahkannya kepada pelanggan saat terjadi pembelian.
Perusahaan menyatakan bahwa persyaratan ini berlaku segera, bertujuan untuk mengurangi peluang akses tidak sah terhadap perangkat.
Ledger juga mengingatkan pengecer resmi bahwa perangkat yang dikembalikan sama sekali tidak boleh dijual kembali, meskipun kemasannya tampak belum dibuka atau produk tampak belum digunakan.
Aturan ini sudah ada, tetapi Ledger telah meminta distributor untuk menegakkannya tanpa pengecualian.
Retailers must promptly notify the manufacturer when customers report abnormal products or suspicious hardware.
Sambil penyelidikan berlanjut, perusahaan memperketat pengawasan terhadap jaringan distribusi resmi.
Ledger menyatakan bahwa tim keamanannya melakukan penyelidikan internal terbesar dalam sejarah perusahaan, melibatkan beberapa departemen.
Ahli dari Ledger Donjon membongkar perangkat yang dipulihkan dan memeriksa cara kerjanya untuk menentukan bagaimana penyerang mengumpulkan frasa pemulihan.
Produsen bekerja sama dengan peneliti keamanan dan mitra industri selama penyelidikan, termasuk SEAL_911.
Ledger menyatakan bahwa tim bekerja sama dengan pihak berwenang untuk melacak dana yang dicuri dan mengidentifikasi infrastruktur yang digunakan untuk mengumpulkan kredensial dompet.
Perusahaan tidak mengungkapkan informasi terkait penangkapan, tuduhan pidana resmi, atau pemulihan dana.
Ledger mengatakan bahwa perusahaan berencana untuk merilis lebih banyak informasi teknis ketika para penyelidik dapat mengungkapkan hasilnya dengan aman.
Ledger berencana untuk meningkatkan perlindungan terhadap manipulasi dompet
Selain batasan ritel saat ini, Ledger juga sedang mengembangkan langkah-langkah keamanan produk tambahan yang bertujuan untuk membuat manipulasi fisik lebih sulit terjadi.
Perusahaan belum menyediakan spesifikasi teknis, model produk yang terpengaruh, atau jadwal peluncuran langkah-langkah perlindungan ini.
Ledger menyatakan akan berbagi hasil survei dengan produsen dan penjual dompet perangkat keras lainnya agar mereka dapat meninjau risiko serupa di produk mereka.
Produsen sebelumnya memperingatkan pelanggan yang membeli perangkat melalui CryptoBilis untuk tidak menginisialisasi perangkat sebelum menghubungi dukungan resmi.
Untuk pelanggan yang telah menggunakan dompet yang mungkin terpengaruh, perusahaan menyarankan untuk memindahkan aset kripto mereka ke perangkat tepercaya dan membuat frasa pemulihan baru.
Jika penyerang telah memperoleh frasa pemulihan lama, maka memulihkan frasa lama di perangkat pengganti tidak menjamin keamanan dana.
Panduan keamanan Ledger mengingatkan pengguna untuk tidak pernah mengungkapkan frasa pemulihan kepada siapa pun yang mengklaim sebagai layanan pelanggan.
Perusahaan menekankan bahwa karyawan tidak akan meminta kata pemulihan melalui pesan, telepon, atau situs web.
Dalam pengumuman pada 15 Oktober, Ledger mengakui bahwa investigasi masih berlangsung dan masih ada pekerjaan keamanan tambahan yang harus diselesaikan.
Produsen menegaskan bahwa akan merilis lebih banyak detail mengenai serangan ini dan metode yang digunakan oleh para penjahat segera setelah penyelidikan memungkinkan pengungkapan.