Sebuah chip tersembunyi membaca 24 kata frasa pemulihan langsung dari layar dompet Ledger, lalu mengirimkannya lewat jaringan seluler. Pada 13 Oktober 2026, Ledger membeberkan penjelasan teknis mengenai perangkat keras palsu yang diedarkan CryptoBilis, distributor resmi untuk Asia Tenggara yang mencakup Indonesia, Malaysia, dan Filipina.
Laporan awal masuk pada 9 Oktober 2026 ketika sejumlah pengguna mendapati saldo kripto mereka mendadak raib. Sehari berselang, teknisi Ledger mengonfirmasi keberadaan implan fisik tidak sah di dalam unit yang diperiksa. Seluruh kerugian yang terverifikasi selalu mengarah pada dompet yang dibeli melalui CryptoBilis.
Yang membuat pembobolan ini berbahaya bukan kelemahan sistem pengaman, melainkan manipulasi fisik sebelum perangkat sampai ke pembeli.
Cara Mikrokontroler Mencegat Data Tanpa Menyentuh Sistem
Implan itu menyisipkan mikrokontroler tambahan di dalam wadah perangkat untuk menyalin 24 kata frasa pemulihan saat teks muncul di layar waktu setup awal. Modul eSIM kemudian mengirimkan data itu lewat jaringan LTE ke penyerang. Serangan rantai pasok ini murni terjadi di tingkat fisik: Secure Element, sistem operasi Ledger, transaksi, maupun tanda tangan digital sama sekali tidak dimodifikasi.
Kerugian dana akibat celah fisik ini ditaksir menembus ratusan juta dolar. Bitquery memperkirakan sekitar $102 juta terkuras dari 324 dompet, Yfarmx mencatat $103 juta, dan Specter menghitung lebih dari $86 juta. Ledger belum mengonfirmasi nilai total kerugian, yang sempat beredar di angka $94 juta. Di tengah pelacakan aset, Tether membekukan $10 juta USDT yang terhubung dengan alamat penyerang.
Penyelidikan kini memunculkan tanda tanya di luar Asia Tenggara. Pengguna X bernama Johannes mengklaim menemukan implan serupa di dua unit Ledger dari dua gerai MediaMarkt di Eropa. Ledger menyatakan belum mengonfirmasi apakah temuan di retail Eropa itu berkaitan dengan insiden CryptoBilis.
Langkah Penyelamatan Aset dan Pemutusan Mitra
Pihak distributor langsung menghentikan operasional. CryptoBilis menyetop seluruh penjualan dan pengiriman dompet keras semua merek di Indonesia, Malaysia, dan Filipina, serta menutup toko fisik untuk sementara waktu.
Produsen lain langsung memutus kemitraan. Trezor dan OneKey mencabut status CryptoBilis sebagai penjual resmi. OneKey bahkan membuka program penggantian unit gratis bagi pembeli antara 1 Maret hingga 12 Oktober 2026, dengan tenggat klaim sampai 31 Desember.
📌 Baca JugaKlaim Airdrop Shiba Inu Beredar 12 Oktober - Tim Resmi Tegaskan Itu Jebakan Wallet Drainer
Dengan lebih dari 8 juta dompet terjual di dunia, Ledger merilis panduan mitigasi. Pengguna yang membeli unit dari CryptoBilis dan belum mengaktifkannya diminta membiarkan perangkat tetap mati serta menghubungi tim bantuan.
Bagi pemilik yang sudah telanjur memakai perangkat dari CryptoBilis, solusinya harus tuntas: segera pindahkan seluruh saldo ke dompet baru dengan frasa pemulihan yang dibuat segar dari awal. Kunci privat tidak lagi terlindungi selama 24 kata rahasia pernah tampil di layar perangkat yang disusupi.
Dilansir dari Cointelegraph.
Disclaimer: Artikel ini bersifat informatif dan edukatif, bukan nasihat keuangan. Aset kripto sangat fluktuatif dan berisiko tinggi. Selalu lakukan riset mandiri (DYOR) dan jangan berinvestasi melebihi kemampuanmu menanggung kerugian.
