Ledger mengumumkan pada 15 Oktober 2026 tentang keperluan keselamatan baharu untuk runcit berlesennya. Sebelum ini, penyerang memasang komponen elektronik tersembunyi ke dalam dompet kripto asli untuk mencuri frasa pemulihan pengguna dan mengakses dana mereka.
Ledger menyatakan bahawa syarikat telah memperketat peraturan penjual semula selepas penjenayah mengubah suai dompet keras asli untuk mencuri kripto.
- Komponen tersembunyi akan menangkap frasa pemulihan dompet semasa proses pengaturan peranti dan menghantar maklumat sensitif melalui rangkaian selular.
- Ledger telah menghentikan jualan runcit berlesen di Asia Tenggara dan Hong Kong semasa menyiasat peranti yang terkesan.
- Pasukan keselamatan telah memeriksa peralatan eceran dan gudang, dan menyatakan bahawa tiada peralatan yang terkesan ditemui dalam sampel yang disemak.
- Ledger telah meminta pengecer untuk menghentikan pameran dompet dan melarang penjualan semula peranti yang dikembalikan tanpa pengecualian.
Pembuat dompet keras ini mengesahkan bahawa penyerang membeli peranti sah, mengubahnya, kemudian memasukkannya semula ke pasaran melalui saluran agen di Asia Tenggara. Ledger telah menghentikan jualan semula di kawasan ini, memeriksa peranti dari kedai eceran dan gudang, serta bermula bekerjasama dengan pihak berkuasa penegak undang-undang untuk mengejar dana yang dicuri.
Syarikat menyatakan bahawa sistem dalaman, perisian operasi, dan cip keselamatan tidak diserang. Para penyiasat masih meneruskan pengesahan lingkungan penuh serangan tersebut, termasuk bagaimana peranti yang dimanipulasi tersebut memasuki pasaran.
Serangan terhadap dompet Ledger melibatkan penanaman frasa pemulihan yang tersembunyi
Penyelidikan Ledger mendapati bahawa penyerang telah bersiap selama berbulan-bulan untuk operasi ini. Mereka membeli dompet keras asli, membuka peranti, dan memasang komponen elektronik khusus untuk menangkap frasa pemulihan semasa proses pengaturan.
Frasa pemulihan biasanya mengandungi 24 perkataan, yang membolehkan pengguna memulihkan akses ke dompet kripto. Sesiapapun yang mendapat perkataan-perkataan ini boleh mencipta semula dompet tersebut pada peranti lain dan memindahkan aset-asetnya.
Penyerang memanfaatkan saat frasa pemulihan muncul di skrin peranti. Komponen tersembunyi mengumpulkan perkataan-perkataan ini dan menghantarkannya ke infrastruktur yang dikendalikan oleh penjenayah.
Dalam kemas kini teknikal pada 13 Oktober, pasukan keselamatan Donjon Ledger menjelaskan bahawa peranti ini menggunakan mikro pengawal untuk membaca frasa dan menghantar maklumat melalui sambungan LTE selular melalui kad SIM terbenam.
Syarikat menyatakan bahawa peranti tanam itu beroperasi secara berasingan daripada Secure Element yang melindungi maklumat kripto yang sensitif. Para penyiasat tidak menemui sebarang bukti komponen jahat yang mengubah sistem operasi atau mengubah tanda tangan transaksi.
Penyelidikan sebelumnya terhadap cip tersembunyi dalam dompet Ledger telah merekam bagaimana komponen elektronik tanpa kebenaran boleh mendedahkan frasa pemulihan tanpa mengubah fungsi tanda tangan normal peranti.
Ledger dalam penyataan terbaharu menggambarkan ini sebagai tindakan jenayah berterusan, yang melibatkan pembelian peralatan, pengaturan pengagihan, serta infrastruktur yang digunakan untuk mengumpul maklumat kunci dompet yang dicuri.
Pembuat ini menyatakan bahawa geng tersebut menghabiskan jutaan dolar untuk serangan ini, tetapi tidak memberikan pecahan kewangan atau mengenal pasti individu yang terlibat.
Laporan menyatakan bahawa penyerang menggunakan frasa pemulihan yang dikumpulkan untuk mengakses beberapa dompet dalam serangan bersama pada 9 Oktober.
Walaupun penyelidik blockchain bebas menganggarkan kerugian melebihi $86 juta, Ledger belum mengesahkan jumlah keseluruhan yang dicuri atau bilangan pelanggan yang terjejas.
Ledger menghentikan penjualan dompet di kawasan Asia Tenggara
Selepas mengenal pasti masalah, Ledger meminta agen dan pembahagi berlesen di Asia Tenggara dan Hong Kong untuk menghentikan penjualan peranti sehingga penyiasat memeriksa saluran pembahagi yang terkesan.
Kawasan yang terhad termasuk Indonesia, Singapura, Thailand, Filipina, Vietnam, Malaysia, dan Hong Kong.
Seorang penjual semula di Asia Tenggara, CryptoBilis, sebelum ini telah dikaitkan dengan kes-kes yang telah disahkan melibatkan pengubahsuaian peranti.
Selepas pelanggan melaporkan kehilangan dana, syarikat tersebut telah menghentikan penjualan dompet keras.
Laporan sebelumnya mengenai penyiasatan dompet CryptoBilis merekodkan penemuan Ledger terhadap komponen tanpa kebenaran serta tindakan balas awalnya terhadap aduan pelanggan.
Selepas menerima laporan yang melibatkan lokasi lain, Ledger kemudian memperluas langkah-langkah pencegahan ke luar penjual semula tersebut.
Di Jerman, MediaMarkt Saturn berhenti menjual peranti Ledger melalui kedai fizikal dan platform dalam talian selepas peranti seorang pelanggan dilaporkan mengandungi komponen yang ditanam.
Ledger menyatakan kes Jerman tidak menyebabkan sebarang kerugian dana pelanggan yang telah disahkan.
Peristiwa ini menyebabkan penjualan dompet Ledger di Jerman juga dihentikan secara berasingan, sambil syarikat mengkaji peranti dan menyiasat perkara berkaitan.
Dalam kemas kini pada 15 Oktober, Ledger menyatakan bahawa penyiasat telah membeli peranti dari kedai-kedai di pelbagai pasaran, termasuk Jerman, dan membukanya untuk pemeriksaan fizikal.
Syarikat juga telah menguji sampel gudang dan menyaring sebahagian stok sendiri.
Ledger menyatakan bahawa sampel yang dipilih semasa pemeriksaan ini tidak menunjukkan sebarang komponen yang tidak dibenarkan.
Namun, syarikat tidak mengungkapkan berapa banyak peranti yang diperiksa, oleh itu jumlah keseluruhan produk yang berpotensi terjejas masih belum disahkan.
Ledger menggambarkan insiden ini sebagai "serangan distribusi sebahagian" dan menegaskan bahawa sistem pembuatannya bukanlah penyebab kerosakan tersebut.
Siasatan belum menentukan dengan tepat di mana setiap peranti yang terkesan telah dimodifikasi.
Ledger memperkenalkan peraturan baru untuk pengecer dompet keras
Sebagai sebahagian daripada langkah penanggulangan, Ledger telah meminta penjual berkuasa untuk mengubah cara penyimpanan dan penjualan dompet keras.
Pencajual runcit mesti berhenti menempatkan peranti Ledger di rak dan meja pameran. Sebaliknya, mereka mesti menyimpan produk di kawasan gudang dan hanya memberikannya kepada pelanggan apabila berlaku pembelian.
Perusahaan menyatakan bahawa syarat-syarat ini telah berkuat kuasa segera dengan tujuan mengurangkan peluang akses tidak sah terhadap peranti.
Ledger juga mengingatkan penjual berkuasa bahawa peranti yang dikembalikan tidak boleh dijual semula, walaupun pembungkusan kelihatan belum dibuka atau produk kelihatan belum digunakan.
Peraturan ini sudah wujud, tetapi Ledger telah meminta penyalur untuk melaksanakannya tanpa pengecualian.
Penjual eceran mesti memberitahu pengilang segera apabila pelanggan melaporkan produk yang tidak biasa atau peranti yang mencurigakan.
Semasa penyiasatan berterusan, syarikat sedang memperketat pengawasan terhadap rangkaian agen berlesen.
Ledger menyatakan bahawa pasukan keselamatannya menjalankan penyiasatan dalaman terbesar dalam sejarah syarikat, melibatkan beberapa jabatan.
Pakar dari Ledger Donjon telah menguraikan peranti yang dipulihkan dan memeriksa cara ia berfungsi untuk menentukan bagaimana penyerang mengumpulkan frasa pemulihan.
Pembuat bekerjasama dengan penyelidik keselamatan dan rakan industri semasa penyiasatan, termasuk SEAL_911.
Ledger menyatakan bahawa pasukan bekerjasama dengan pihak berkuasa penegak undang-undang untuk melacak dana yang dicuri dan mengenal pasti infrastruktur yang digunakan untuk mengumpul maklumat kunci dompet.
Syarikat tidak mengungkapkan sebarang tangkapan, tuntutan jenayah rasmi, atau pemulihan dana yang berkaitan.
Ledger mengatakan bahawa syarikat merancang untuk menerbitkan lebih banyak maklumat teknikal apabila penyiasat boleh mengumumkan keputusan dengan selamat.
Ledger merancang untuk memperkuat perlindungan terhadap pemalsuan dompet
Selain sekatan runcit semasa, Ledger juga sedang membangunkan langkah keselamatan produk tambahan yang bertujuan untuk membuat pencemaran fizikal lebih sukar berlaku.
Syarikat belum menyediakan spesifikasi teknikal, model produk yang terjejas, atau jadual pelaksanaan langkah-langkah perlindungan ini.
Ledger menyatakan akan berkongsi hasil penyiasatan dengan pembuat dan penjual dompet keras lain, supaya mereka dapat meninjau risiko serupa dalam produk mereka sendiri.
Pembuat sebelum ini telah memperingatkan pelanggan yang membeli peranti melalui CryptoBilis agar tidak menginisialisasi peranti sebelum menghubungi sokongan rasmi.
Untuk pelanggan yang telah menggunakan dompet yang mungkin terjejas, syarikat menyarankan agar mereka memindahkan kripto mereka ke peranti yang boleh dipercayai dan menghasilkan frasa pemulihan baru.
Jika penyerang telah mendapatkan frasa pemulihan lama, maka memulihkan frasa lama pada peranti pengganti tidak menjamin keselamatan dana.
Panduan keselamatan Ledger mengingatkan pengguna untuk tidak mengungkapkan frasa pemulihan kepada siapa pun yang mengaku sebagai perwakilan perkhidmatan pelanggan.
Syarikat menekankan bahawa pekerjanya tidak akan meminta kata pulih melalui mesej, telefon, atau laman web.
Dalam pengumuman pada 15 Oktober, Ledger mengakui bahawa penyiasatan masih berterusan dan masih terdapat kerja keselamatan tambahan yang perlu dilakukan.
Pembuat menegaskan bahawa mereka akan mengeluarkan butiran lanjut mengenai serangan tersebut dan kaedah yang digunakan oleh penjenayah apabila penyiasatan membenarkan pengumuman.