#Ledger攻击均指向CryptoBilis Distributor resmi juga bisa gagal? Peristiwa pencurian 86 juta dolar AS membongkar titik buta besar dalam keamanan dompet perangkat keras

Distributor resmi juga bisa gagal? Peristiwa pencurian 86 juta dolar AS membongkar titik buta besar dalam keamanan dompet perangkat keras Banyak pemegang aset kripto meyakini satu hal yang sudah umum: selama membeli dompet perangkat keras dari merek besar melalui distributor resmi, perangkat pasti aman dan aset dapat disimpan dengan tenang. Namun, kasus pencurian aset dalam jumlah besar milik pengguna Asia Tenggara dari dompet perangkat keras Ledger baru-baru ini menghancurkan anggapan tersebut. Insiden keamanan dengan estimasi kerugian lebih dari 86 juta dolar AS ini mengungkap kenyataan pahit: bahkan dompet perangkat keras yang dibeli melalui saluran resmi pun tidak dapat menjamin 100% bahwa perangkat tidak telah dimanipulasi selama proses pengiriman dan distribusi.
Pada 9 Oktober, produsen dompet perangkat keras ternama Ledger mengungkapkan kepada publik bahwa mereka sedang menyelidiki insiden pencurian aset yang terpusat di kawasan Asia Tenggara. Perangkat Ledger milik para korban semuanya berasal dari distributor resminya di Indonesia, Malaysia, dan Filipina, CryptoBilis. Peneliti keamanan blockchain Specter memperkirakan secara awal bahwa skala aset yang dicuri dalam insiden ini mungkin melebihi 86 juta dolar AS, mencakup berbagai aset kripto seperti Bitcoin dan Ethereum, tetapi jumlah tersebut belum diverifikasi dan dikonfirmasi oleh pihak ketiga independen. Sesuai panduan pembelian resmi Ledger, pengguna sebaiknya membeli dompet perangkat keras melalui toko resmi merek atau distributor resmi, serta menjalankan Genuine Check saat pertama kali menginisialisasi perangkat untuk menghindari risiko membeli produk palsu.
Logika inti verifikasi keaslian adalah memeriksa apakah cip keamanan di dalam perangkat merupakan cip asli dari produsen. Dalam pemahaman umum, jika verifikasi ini berhasil, berarti seluruh perangkat aman sejak keluar dari pabrik hingga sampai ke tangan pengguna. CryptoBilis sendiri merupakan distributor resmi yang terdaftar dalam daftar Ledger. Berdasarkan dukungan resmi tersebut, pengguna menurunkan kewaspadaan, tetapi pada akhirnya aset mereka tetap dicuri.

Titik buta keamanan saluran resmi: cip tidak bermasalah, tetapi seluruh perangkat mungkin telah dimanipulasi
Di sinilah terdapat batasan teknis yang tidak diketahui sebagian besar investor: verifikasi keaslian hanya memeriksa cip keamanan itu sendiri dan tidak dapat mendeteksi apakah ada perangkat penyadap tambahan yang dipasang di dalam casing perangkat. Dokumentasi resmi Ledger sebenarnya telah lama menyebutkan bahwa rantai pasok global sangat sulit sepenuhnya terhindar dari serangan berupa penyadapan dan manipulasi. Status distributor resmi dan verifikasi keaslian cip hanya dapat menyingkirkan kemungkinan penggunaan cip palsu, tetapi tidak menjamin bahwa perangkat tidak dibongkar dan dimodifikasi setelah meninggalkan pabrik, baik di gudang distributor maupun selama proses distribusi.
Pada hari yang sama ketika insiden ini mencuat, Mark Karpelès, yang pernah menjabat sebagai CEO bursa MtGox, mengunggah sebuah perangkat Ledger Nano X yang telah dibongkar di platform media sosial. Ia menemukan bahwa di dalam perangkat tersebut diam-diam ditanam seperangkat komponen mata-mata. Dilihat dari plastik penyusut panas pada kemasan luar, perangkat tampak utuh dan orang biasa sama sekali tidak akan melihat kejanggalan. Setelah casing dibuka, di celah di belakang layar OLED yang semula digunakan untuk menempatkan busa pelindung, ditemukan mikrokontroler, modul komunikasi seluler, antena, dan modul eSIM. Perangkat keras ini dapat membaca konten yang ditampilkan di layar, menangkap karakter ketika pengguna memasukkan frasa pemulihan, lalu mengirimkannya dari jarak jauh melalui jaringan seluler.
Sederhananya: cip keamanan tetap utuh, Genuine Check dapat berhasil dilewati, tetapi perangkat penyadap tambahan mengawasi layar; begitu frasa pemulihan ditampilkan, frasa tersebut diam-diam ditangkap. Kunci privat masih tersimpan di dalam cip keamanan asli, tetapi karena frasa pemulihan telah dicuri, peretas tetap dapat mengambil alih aset di dompet.
Pakar keamanan siber 23pds kemudian melakukan analisis teknis. Jika papan sirkuit tambahan tersebut dapat membaca aliran data layar, secara teori perangkat itu dapat merekam frasa pemulihan dan mengirimkannya dari jarak jauh. Namun, pakar tersebut juga menekankan bahwa jalur serangan ini saat ini masih berada pada tahap dugaan teoretis. Sampel tersebut masih perlu dianalisis lebih mendalam sambil menunggu hasil penyelidikan lengkap dari Ledger. Satu hal juga perlu diperjelas: saat ini belum ada bukti langsung bahwa perangkat modifikasi tersebut berkaitan dengan insiden pencurian CryptoBilis. Keduanya merupakan petunjuk yang berdiri sendiri, tetapi jika digabungkan, keduanya membuat risiko dalam rantai pasok dompet perangkat keras menjadi semakin jelas.

Perubahan kepemilikan distributor menanam bom waktu dalam rantai pasok
Hal yang lebih patut direnungkan di balik insiden ini adalah perubahan kendali atas distributor. Informasi yang tersedia menunjukkan bahwa distributor yang terlibat, CryptoBilis, telah menyelesaikan akuisisi pada Maret 2026, sementara tim pendiri sebelumnya meninggalkan pengelolaan operasional perusahaan. Salah satu pendiri sebelumnya, Arravind Prabu, menyatakan kepada publik bahwa karena terikat perjanjian kerahasiaan, akuisisi tersebut baru dapat diumumkan kepada publik pada Oktober; sejak Agustus, seluruh kepemilikan perusahaan telah dikuasai oleh pengendali baru yang sebenarnya. Perubahan kepemilikan dan pergantian besar-besaran manajemen sangat bertepatan secara waktu dengan insiden pencurian aset. Perubahan kepemilikan itu sendiri tidak dapat secara langsung membuktikan bahwa pemegang saham baru terlibat dalam manipulasi perangkat atau pencurian aset. Namun, hal ini mengungkap celah besar dalam rantai pasok: setelah merek memberikan otorisasi kepada distributor, merek tersebut belum tentu dapat segera melakukan verifikasi ulang atau mencabut status resmi apabila distributor diakuisisi dan manajemennya berganti. Jika ada orang dalam distributor yang berniat melakukan kejahatan, mereka dapat membuka perangkat baru di gudang, memasang komponen penyadap, lalu mengemas ulang kemasan luarnya. Pengguna biasa sama sekali tidak dapat mengenalinya hanya dengan mata telanjang.
Setelah insiden ini mencuat, Ledger segera meminta CryptoBilis menghentikan seluruh penjualan dan pengiriman, serta memberikan saran penanganan kepada pengguna: perangkat yang belum diinisialisasi tidak boleh dikonfigurasi; pengguna yang telah menyelesaikan inisialisasi dan menyimpan aset di dalamnya harus segera memindahkan aset ke perangkat Ledger baru dan menggunakan frasa pemulihan yang sepenuhnya baru. CryptoBilis juga telah secara mandiri menghentikan seluruh penjualan dompet perangkat keras dan menutup toko fisiknya. Ledger menyatakan bahwa seluruh laporan kerugian akibat pencurian berasal dari saluran distributor tersebut. Pengguna yang membeli perangkat langsung dari toko resmi Ledger sejauh ini belum melaporkan pencurian serupa, dan sistem backend milik merek tersebut tidak mengalami peretasan.

Refleksi mendasar tentang dompet perangkat keras: siapa yang sebenarnya bertanggung jawab atas keamanan?
Selama bertahun-tahun, banyak investor di dunia kripto menganggap dompet perangkat keras sebagai brankas perlindungan terakhir bagi aset. Orang-orang berasumsi: merek besar + distributor resmi = keamanan mutlak. Insiden ini benar-benar mematahkan ilusi tersebut.
Model keamanan dompet perangkat keras dibangun di atas dua prasyarat: pertama, cip keamanan tidak memiliki kerentanan; kedua, perangkat tidak mengalami manipulasi fisik sejak keluar dari pabrik hingga sampai ke tangan pengguna. Teknologi cip keamanan dapat dikendalikan oleh produsen, tetapi proses distribusi dalam rantai pasok dan penyimpanan di pihak distributor merupakan titik lemah yang sulit dikendalikan sepenuhnya oleh merek. Verifikasi keaslian sebagai metode perlindungan hanya dapat menjawab “apakah cip ini cip asli”, tetapi tidak dapat menjawab “apakah ada perangkat penyadap tambahan di dalam casing”. Penyerang tidak perlu membobol cip keamanan; mereka hanya perlu mengawasi layar untuk membaca frasa pemulihan dan dengan demikian melewati perlindungan cip. Serangan rantai pasok pada lapisan fisik semacam ini sangat sulit dideteksi. Pengguna biasa tidak memiliki kemampuan untuk membongkar dan memeriksa perangkat, sehingga sulit menemukan manipulasi tersebut.
Tentu saja, kita tidak dapat sepenuhnya meniadakan nilai dompet perangkat keras. Dibandingkan dompet panas dan kustodi bursa, dompet perangkat keras tetap menjadi pilihan yang relatif lebih aman untuk menyimpan aset kripto dalam jumlah besar.
Namun, insiden ini mengajarkan kepada semua orang: saluran resmi bukan berarti brankas, dan verifikasi keaslian bukan berarti keamanan tanpa celah.

Strategi perlindungan yang dapat diterapkan pengguna biasa
1. Prioritaskan saluran penjualan resmi merek. Beli langsung dari situs web resmi atau toko resmi merek dompet perangkat keras, sebisa mungkin hindari distributor resmi pihak ketiga, kurangi tahapan distribusi perantara, dan kecilkan kemungkinan perangkat dimanipulasi di tengah proses.
2. Periksa kemasan dengan saksama segera setelah menerima barang. Perhatikan apakah plastik pembungkus dan segel menunjukkan tanda-tanda pernah dibuka dan dikemas ulang. Jika menemukan kemasan rusak atau bekas penyegelan ulang dengan panas, langsung tolak penerimaan dan jangan menginisialisasi perangkat.
3. Jangan menampilkan atau memasukkan frasa pemulihan di lingkungan yang terhubung ke internet. Meskipun perangkat tidak dimodifikasi, lingkungan saat memasukkan frasa pemulihan harus tetap aman, tanpa kamera di sekitar dan layar tidak menghadap perangkat elektronik apa pun.
4. Untuk aset dalam jumlah besar, gunakan strategi multisig dan diversifikasi aset; jangan menyimpan seluruh aset di satu dompet perangkat keras.
5. Jika mencurigai adanya kejanggalan pada perangkat, jangan transfer aset apa pun ke dompet tersebut. Segera ganti perangkat dengan yang baru dan ganti seluruh frasa pemulihan.

Keamanan aset kripto merupakan rantai panjang yang utuh. Cip, firmware, pabrik produksi, pergudangan dan logistik, manajemen distributor, serta kebiasaan pengguna—kegagalan pada satu mata rantai saja dapat menyebabkan aset menjadi tidak bernilai. Peringatan terbesar dari pencurian 86 juta dolar AS kali ini adalah: verifikasi keamanan hanya dapat melindungi dari kerentanan teknis yang telah diketahui, tetapi sulit menghadapi serangan manipulasi fisik oleh manusia di dalam rantai pasok. Dompet perangkat keras bukan “kartu bebas mati” yang menjamin keamanan mutlak. Bagi pemegang aset kripto, sambil memercayai merek dan saluran resmi, selalu sisakan kewaspadaan terhadap risiko rantai pasok.