Seseorang secara sekaligus mengambil sekitar $91 juta. 203 BTC masuk ke dua alamat dalam blok yang sama, dan dalam jam yang sama, sekitar $58 juta USDT di jaringan Tron juga dipindahkan. Uang tersebut berasal dari sekelompok dompet keras Ledger, di mana mnemonic phrase sudah dikirimkan sejak hari pertama pengguna menyalakan perangkat. Seseorang membongkar satu unit Ledger yang dibeli dari Malaysia, dan di bawah layar ditemukan sebuah papan kecil dengan eSIM. @MagicalTux memposting foto pembongkaran tersebut pada 8 Oktober. Papan kecil itu dilengkapi modul LTE yang diam-diam memantau layar tanpa melakukan apa pun selain itu. Saat Anda menyalakan perangkat, mengaktifkannya, dan menyalin satu per satu 24 kata mnemonic, kata-kata tersebut sudah dikirim melalui jaringan seluler. Validasi otentikasi Ledger Live tidak dapat mendeteksi kecurangan ini; chip Ledger di dalam perangkat memang asli, tetapi komponen jahat bersembunyi di bawah layar. Saya memperbesar foto-foto itu dan memeriksanya lama, dan titik lasnya rapi—tidak terlihat seperti produk buatan rumahan. Di Malaysia, ada sebuah toko yang menjual dompet keras bernama CryptoBilis. Sejak setidaknya tahun 2022, situs web Ledger secara resmi mencantumkannya sebagai distributor resmi di Malaysia, Indonesia, dan Filipina. Toko ini legit, menjual barang asli, dan telah beroperasi dengan baik selama bertahun-tahun. Namun pada Maret tahun ini, tim pendiri menjual seluruh perusahaan. Transaksi tersebut dilengkapi dengan perjanjian kerahasiaan, yang melarang pemegang saham lama mengungkapkan perubahan kepemilikan hingga 19 Oktober. Pada Agustus tahun ini, data pendaftaran perusahaan hanya mencatat satu pemegang saham 100% bernama Jiaming, dengan alamat terdaftar di Heilongjiang. Toko tetap beroperasi, situs web tetap aktif, domain tidak berubah, dan plakat "Distributor Resmi Ledger" tetap terpasang di tempat semula. Mantan co-founder mengatakan bahwa tim lama bahkan tidak bisa lagi mengakses backend perusahaan. Kemudian, pada 8 Oktober, postingan pembongkaran itu muncul dengan 120.000 kali tayangan. 22 jam setelah postingan itu muncul, orang yang memiliki mnemonic phrase tersebut menarik semua dana mereka. Sekitar 7 jam setelah transfer koin selesai, Ledger baru mengumumkan bahwa mereka sedang menyelidiki kasus ini dan meminta CryptoBilis untuk menghentikan penjualan dan pengiriman. Kemarin, Ledger mengonfirmasi bahwa perangkat milik pengguna korban memang memiliki perangkat keras yang tidak sah yang telah disisipkan. Sampai saat ini, belum ada yang secara resmi menghubungkan pemegang saham baru dengan perangkat yang telah dimodifikasi, dan Ledger belum menjelaskan bagaimana papan-papan tersebut bisa masuk ke dalam perangkat. Namun jalurnya jelas: tidak perlu meretas chip keamanan atau menembus firmware—cukup membeli merek resmi yang sudah diakui, memanfaatkan reputasi tiga tahun yang dibangun oleh orang lain untuk mengirimkan produk, sementara perangkat itu sendiri secara diam-diam mengirimkan data melalui seluler; dan ketika postingan pembongkaran muncul, semua dana langsung dikosongkan sekaligus. Plakat "Distributor Resmi" dulu diakui sebagai milik tim yang membuka toko ini pada tahun 2022. Perusahaan berganti pemilik pada Maret, tetapi plakat itu tetap terpasang di tempat semula—dan hingga kini, tidak ada yang memeriksa ulang siapa pemilik baru di baliknya.
