Seiring risiko keamanan aset digital terus berkembang, penyerang tidak lagi hanya menargetkan platform perdagangan dan akun pengguna. Dompet perangkat keras juga dapat menjadi titik masuk serangan selama proses pengadaan, pengiriman, dan penyerahan.
Jika sebuah perangkat dicegat, ditukar, atau dimodifikasi secara berbahaya selama distribusi, hal tersebut dapat menimbulkan risiko terhadap keamanan aset pengguna meskipun perangkat itu tampak tidak dapat dibedakan dari produk yang sah.
Gate mengingatkan semua pengguna bahwa saat membeli dan menggunakan dompet perangkat keras, jangan hanya mempertimbangkan merek dan harga. Memverifikasi sumber perangkat, saluran pengiriman, dan pemeriksaan keamanan selanjutnya juga sama pentingnya.
I. Apa Itu Peracunan Rantai Pasokan Perangkat Keras?
Peracunan rantai pasokan perangkat keras merujuk pada tindakan penyerang yang memanfaatkan kerentanan pada tahap seperti produksi perangkat, pergudangan, transportasi, distribusi, atau pengiriman untuk menukar, memanipulasi, atau menanamkan komponen berbahaya ke dalam perangkat.
Sebagai contoh, pengguna mungkin membeli dompet perangkat keras melalui saluran yang sah, tetapi perangkat tersebut dapat dicegat oleh pihak ketiga selama pengiriman atau penjualan kembali. Penyerang dapat memodifikasi komponen internal, memanipulasi firmware, atau memalsukan kemasan dan dokumentasi resmi sebelum mengirimkan perangkat kepada pengguna.
Beberapa serangan juga dapat melibatkan teknik phishing. Penyerang dapat mengirimkan apa yang disebut sebagai pemberitahuan keamanan yang meminta pengguna memasang perangkat lunak tertentu, memindai kode QR, atau mengimpor ulang dompet mereka. Setelah pengguna memasukkan frasa seed atau kunci privat sesuai instruksi, aset mereka dapat berisiko dicuri.
Kraken Security Labs telah secara terbuka mengungkapkan riset mengenai serangan rantai pasokan yang menargetkan dompet perangkat keras Ledger Nano X, dengan mencatat bahwa perangkat dapat dimanipulasi sebelum diterima pengguna—misalnya, dengan dicegat selama pengiriman atau sampai kepada pengguna melalui saluran penjualan kembali yang berbahaya. Hingga tanggal pembaruan artikel ini, informasi publik menunjukkan bahwa paket dependensi frontend Ledger Connect Kit mengalami serangan rantai pasokan. Versi ledgerhq/connect-kit yang terkonfirmasi terdampak adalah: 1.1.5, 1.1.6, dan 1.1.7. Versi-versi ini berisi kode berbahaya yang dirancang untuk mengarahkan atau mengganti transaksi ketika pengguna menghubungkan dompet mereka atau berinteraksi dengan DApp, sehingga mencuri aset. Referensi: Dari Anomali Rantai Pasokan hingga Dugaan Implan Perangkat Keras: Analisis Lengkap Insiden Pencurian Pengguna Ledger
Penting untuk diperhatikan bahwa kemasan yang utuh dan perangkat yang menyala secara normal tidak serta-merta berarti perangkat tersebut aman. Beberapa modifikasi berbahaya dapat sulit diidentifikasi melalui pemeriksaan visual.
II. Apa Saja Risiko Serangan Rantai Pasokan Perangkat Keras?
Fungsi utama dompet perangkat keras adalah membantu pengguna menyimpan kunci privat secara aman dan menandatangani transaksi. Jika perangkat itu sendiri dimanipulasi, perlindungan keamanan aslinya dapat terganggu.
Komponen berbahaya yang ditanamkan dalam perangkat: Komponen berbahaya atau firmware yang dimanipulasi dapat mengganggu operasi normal perangkat, sehingga meningkatkan risiko kebocoran informasi dan masalah keamanan transaksi.
Perangkat lunak peniruan yang mengarahkan tindakan: Penyerang dapat menggunakan perangkat lunak pengelolaan dompet palsu, pemberitahuan peningkatan versi palsu, atau panduan dukungan pelanggan palsu untuk mengelabui pengguna agar secara sukarela mengungkapkan frasa seed dan kunci privat mereka.
Kehilangan kendali atas aset: Setelah penyerang memperoleh frasa seed atau kunci privat yang valid, mereka dapat memulihkan dompet pada perangkat lain dan mentransfer asetnya.
Bahkan jika pengguna telah mengaktifkan autentikasi dua faktor untuk akun platform perdagangan mereka, hal tersebut tidak dapat sepenuhnya mencegah risiko yang disebabkan oleh perangkat keras yang dimanipulasi atau kredensial dompet yang bocor. Keamanan akun, keamanan perangkat, dan pengelolaan kunci privat masing-masing harus dijaga dengan baik; satu sama lain tidak dapat saling menggantikan!
III. Bagaimana Cara Mengurangi Risikonya?
Beli perangkat melalui saluran tepercaya
Saat membeli dompet perangkat keras, pilih situs web resmi merek atau saluran resmi terverifikasi jika memungkinkan. Tetap waspada terhadap perangkat dengan sumber yang tidak diketahui, harga yang jelas tidak wajar, atau kualifikasi penjual yang tidak dapat diverifikasi.
Periksa perangkat sebelum menggunakannya
Periksa apakah kemasan, segel, nomor seri, dan tampilan perangkat menunjukkan tanda-tanda ketidakwajaran, serta verifikasi informasi perangkat melalui saluran resmi produsen. Saat menggunakan perangkat untuk pertama kali, ikuti petunjuk resmi untuk menyelesaikan inisialisasi dan verifikasi firmware. Jika perangkat sudah diinisialisasi, verifikasi gagal, atau prosesnya tampak tidak normal, jangan terburu-buru mengimpor aset.
Lindungi frasa seed dan kunci privat Anda
Frasa seed dan kunci privat Anda adalah informasi penting untuk mengendalikan aset di dompet Anda. Tidak seorang pun seharusnya meminta Anda memberikan informasi ini melalui chat, email, halaman web, atau bantuan jarak jauh.
Terlepas dari apakah pihak lain mengaku sebagai dukungan pelanggan Gate, produsen perangkat keras, atau personel keamanan, jangan percaya pada permintaan atas frasa seed atau kunci privat Anda. Anda juga tidak boleh memasukkan frasa seed ke situs web atau perangkat lunak dari sumber yang tidak dikenal.
Jangan sembarangan memasang perangkat lunak atau memperbarui firmware
Untuk koneksi perangkat, pemasangan perangkat lunak, dan peningkatan firmware, andalkan informasi yang diberikan melalui saluran resmi produsen. Untuk tautan, kode QR, paket peningkatan tidak resmi, atau pemberitahuan yang tidak dikenal yang mengharuskan migrasi aset segera, verifikasi terlebih dahulu keasliannya. Jangan bertindak tergesa-gesa hanya karena seseorang mengklaim akun Anda berisiko.
Jika Anda mendeteksi sesuatu yang tidak biasa, segera hentikan penggunaan perangkat
Jika perangkat menunjukkan tanda-tanda pembongkaran atau modifikasi, verifikasi firmware gagal, atau inisialisasi tidak normal, hentikan penggunaannya dan hubungi saluran dukungan resmi produsen untuk memverifikasi situasinya.
Jika Anda mencurigai bahwa frasa seed atau kunci privat Anda telah dikompromikan, gunakan perangkat tepercaya yang tidak terdampak untuk membuat dompet baru di lingkungan yang aman, lalu transfer aset Anda ke alamat yang aman sesegera mungkin. Jangan terus menggunakan perangkat yang mungkin telah dimanipulasi untuk mengelola aset, dan jangan memasukkan kredensial dompet baru pada perangkat yang diduga telah dikompromikan.
IV. Pengingat Keamanan Gate
Serangan rantai pasokan perangkat keras sangat sulit dideteksi, dan risiko dapat muncul bahkan sebelum Anda menerima perangkat tersebut. Oleh karena itu, Anda tidak boleh menganggap bahwa suatu perangkat sepenuhnya aman hanya berdasarkan label mereknya, kemasan yang utuh, atau kemampuannya untuk menyala secara normal.
Gate mengingatkan pengguna untuk memverifikasi sumber perangkat dengan cermat saat membeli dan menggunakan dompet perangkat keras, menangani pemberitahuan yang tidak dikenal dengan hati-hati, serta menjaga frasa seed dan kunci privat dengan baik. Saat Anda tidak dapat memverifikasi keaslian perangkat, aplikasi perangkat lunak, atau panduan operasional, verifikasikan terlebih dahulu sebelum mengambil tindakan.
Harap diingat: Gunakan sumber perangkat yang tepercaya, verifikasi pembaruan perangkat lunak, dan jangan pernah mengungkapkan frasa seed atau kunci privat Anda.
Dengan mengikuti langkah-langkah keamanan dasar ini, Anda dapat lebih mengurangi risiko aset yang terkait dengan serangan rantai pasokan perangkat keras.
Penafian
Konten yang disediakan di sini hanya untuk tujuan referensi dan edukasi, dan tidak dimaksudkan sebagai saran keuangan, investasi, perdagangan, atau hukum, maupun sebagai penawaran atau ajakan untuk membeli atau menjual aset digital apa pun. Gate tidak memberikan jaminan atau pernyataan, baik secara tersurat maupun tersirat, mengenai keakuratan, kelengkapan, atau ketepatan waktu informasi yang terkandung di sini. Fitur produk, antarmuka, aturan, dan struktur biaya dapat diperbarui atau disesuaikan kapan saja. Silakan merujuk pada pengumuman terbaru dan informasi aktual yang ditampilkan di platform Gate untuk detail yang paling akurat.
Investasi aset digital melibatkan risiko yang signifikan, dan harga dapat berfluktuasi secara substansial. Anda dapat kehilangan seluruh jumlah investasi Anda. Harap mengambil keputusan dengan hati-hati berdasarkan situasi keuangan dan toleransi risiko Anda sendiri setelah sepenuhnya memahami risiko yang terkait. Jika diperlukan, disarankan untuk berkonsultasi dengan penasihat keuangan atau hukum independen.
Untuk informasi lebih lanjut tentang risiko potensial, silakan merujuk pada Pengungkapan Risiko dan Perjanjian Pengguna Gate.
