Ledger mengonfirmasi bahwa sebagian perangkatnya yang dijual lewat reseller Asia Tenggara, CryptoBilis, disusupi implan perangkat keras yang menguras dompet kripto pengguna. Kerugian yang dikaitkan dengan kasus ini diperkirakan mencapai USD 86 juta. Implan itu berupa papan sirkuit kecil yang disembunyikan di bawah layar perangkat Ledger, membaca recovery phrase yang muncul di layar, lalu mengirimkannya ke penyerang lewat jaringan seluler. Perangkat yang dibeli langsung dari Ledger atau reseller resmi tidak termasuk yang terdampak.
TL;DR
- Ledger mengonfirmasi implan perangkat keras di sebagian perangkat yang didistribusikan reseller Asia Tenggara CryptoBilis.
- Implan berupa papan sirkuit kecil di bawah layar, membaca recovery phrase, lalu mengirimkannya lewat jaringan seluler LTE.
- Kerugian yang dikaitkan dengan kasus ini diperkirakan USD 86 juta dan bisa lebih besar.
- Peneliti keamanan Joe Grand membongkar implan serupa pada Ledger Nano X dan mempresentasikannya di hardwear.io USA 2026.
- MediaMarkt menghentikan penjualan perangkat terkait di Eropa, dan Ledger menegaskan perangkat dari jalur resmi tetap aman.
Apa sebenarnya yang ditemukan di perangkat Ledger itu?
Yang ditemukan adalah papan sirkuit tambahan yang tidak seharusnya ada. Ia dipasang di dalam perangkat, tepat di bawah layar, dan terhubung ke jalur komunikasi internal sehingga bisa membaca apa yang ditampilkan maupun apa yang diketik pengguna. Karena ukurannya kecil dan tersembunyi, perangkat tetap tampak normal dari luar dan tetap lolos pemeriksaan visual biasa.
Peneliti keamanan perangkat keras Joe Grand melakukan reverse engineering terhadap implan serupa pada sebuah Ledger Nano X dan mempublikasikan hasilnya. Dalam presentasinya di hardwear.io USA 2026, ia menjelaskan bahwa implan itu bukan sekadar penyadap pasif, melainkan modul aktif yang menyalin data lalu mengirimkannya keluar. Kasus ini dianggap jarang karena serangan rantai pasok seperti ini lebih sering dibicarakan sebagai ancaman teoretis daripada ditemukan nyata di lapangan.
Ledger sendiri menyatakan bahwa kompromi terjadi pada unit yang melewati reseller pihak ketiga, bukan pada jalur distribusi resminya. Artinya, yang disusupi bukan pabrik atau firmware resmi, melainkan perangkat yang sudah keluar dari rantai resmi lalu dimodifikasi sebelum sampai ke tangan pembeli.
Bagaimana implan bisa mencuri recovery phrase?
Kuncinya ada di kenyataan bahwa recovery phrase pada akhirnya harus terlihat oleh manusia. Saat pengguna menyiapkan perangkat baru atau memulihkan dompet, frasa pemulihan ditampilkan di layar perangkat supaya bisa dicatat. Implan yang berada tepat di bawah layar cukup membaca tampilan itu, tanpa perlu membobol secure element yang menjadi inti keamanan Ledger.
Setelah frasa terbaca, sisanya mudah. Pemilik frasa bisa memulihkan dompet yang sama di perangkat lain dan memindahkan seluruh saldo tanpa menyentuh perangkat asli. Inilah sebabnya serangan ini berbahaya: ia melewati pertahanan kriptografis yang kuat dengan menyerang titik terlemah, yaitu tampilan fisik yang harus dibaca manusia.
Modul pengiriman datanya memakai jaringan seluler. Menurut laporan, implan mengirim data lewat jaringan mobile sehingga tidak bergantung pada Wi-Fi korban dan bisa beroperasi tanpa koneksi internet rumah. Kombinasi pembacaan layar dan pengiriman mandiri inilah yang membuat implan ini mampu bekerja dalam senyap untuk waktu yang lama.
Siapa yang berisiko dan apa yang harus dilakukan?
Yang paling berisiko adalah pembeli perangkat Ledger dari reseller tidak resmi, terutama di Asia Tenggara, dan siapa pun yang pernah memasukkan recovery phrase ke perangkat yang berasal dari jalur distribusi tidak jelas. Kalau kamu membeli langsung dari Ledger atau dari reseller resmi yang terdaftar, risikonya sangat kecil karena unit seperti itu tidak melewati tangan pihak ketiga yang bisa memodifikasi perangkat.
Langkah pertama yang harus dilakukan adalah memastikan asal perangkat. Kalau kamu ragu, jangan pakai perangkat itu untuk menyimpan aset berharga. Langkah kedua, verifikasi keaslian lewat pemeriksaan yang disediakan Ledger. Aplikasi resmi menyediakan Ledger Genuine Check yang dijalankan saat onboarding dan setiap kali perangkat tersambung ke aplikasi, dan pemeriksaan itu memvalidasi secure element beserta firmware-nya.
Langkah ketiga yang paling penting: kalau kamu pernah memasukkan recovery phrase ke perangkat yang mungkin dimodifikasi, anggap frasa itu sudah bocor. Buat dompet baru dengan frasa baru di perangkat yang sudah dipastikan asli, lalu pindahkan seluruh aset ke sana. Mengganti PIN atau memperbarui firmware tidak cukup, karena pemilik frasa bisa memulihkan dompet tanpa perangkat fisik.
| Tindakan | Cukup? | Alasan |
|---|---|---|
| Ganti PIN | Tidak | PIN tidak menghalangi pemulihan lewat frasa |
| Update firmware | Tidak | Implan adalah perangkat keras, bukan bug software |
| Jalankan genuine check | Ya, untuk deteksi | Memvalidasi secure element dan firmware resmi |
| Buat dompet baru dengan frasa baru | Ya, untuk pemulihan | Memutus akses penyerang yang sudah punya frasa lama |
| Beli hanya dari jalur resmi | Ya, untuk pencegahan | Menghindari perangkat yang melewati tangan pihak ketiga |
Kenapa serangan rantai pasok seperti ini sulit dicegah?
Karena pertahanan keamanan perangkat keras dirancang untuk mengasumsikan perangkat itu utuh sejak keluar dari pabrik. Secure element melindungi kunci agar tidak bisa dibaca dari dalam chip, tetapi ia tidak dirancang untuk mendeteksi komponen tambahan yang menempel di luar chip dan mengintip layar. Selama perangkat fisik utuh secara fungsi, sistem tidak punya cara alami untuk mengetahui ada modul asing di dalamnya.
Masalah kedua soal rantai distribusi. Begitu perangkat berpindah dari pabrik ke distributor, ke reseller, lalu ke pembeli, setiap titik perpindahan adalah peluang modifikasi. Perangkat keras tidak punya tanda tangan kriptografis yang bisa memverifikasi bahwa isi fisiknya tidak berubah, karena yang bisa ditandatangani secara digital hanyalah firmware, bukan rangkaian elektroniknya. Inilah celah yang dimanfaatkan serangan ini.
Karena itu, pencegahan yang realistis bukan pada teknologi chip, melainkan pada proses. Membeli dari jalur resmi, memeriksa kemasan dan segel, serta menjalankan genuine check sebelum memakai perangkat jauh lebih efektif daripada berharap perangkat bisa mendeteksi sendiri adanya modul asing. Untuk aset bernilai besar, menambah lapisan seperti multisig juga membatasi kerusakan kalau satu perangkat ternyata sudah dikompromi.
Apa bedanya dengan phishing biasa?
Pada phishing, penyerang menipu pengguna supaya menyerahkan data secara sukarela, biasanya lewat situs atau pesan palsu. Pada serangan rantai pasok seperti ini, perangkat yang dipakai sudah asli dan berfungsi normal, tetapi ada komponen tambahan di dalamnya yang bekerja tanpa sepengetahuan pemilik. Pengguna tidak perlu melakukan kesalahan apa pun untuk kehilangan aset.
Perbedaan itu membuat pertahanan yang berlaku untuk phishing tidak banyak menolong. Waspada terhadap tautan mencurigakan, memeriksa alamat situs, dan tidak mengisi frasa di tempat sembarangan semuanya relevan untuk phishing, tetapi tidak menghalangi implan yang membaca layar perangkat sendiri. Ancaman berpindah dari lapisan kebiasaan pengguna ke lapisan fisik perangkat.
Perbedaan lain ada pada jejaknya. Phishing biasanya meninggalkan jejak digital, seperti log akses atau riwayat pesan, sehingga korban bisa menelusuri apa yang terjadi. Serangan perangkat keras bisa berjalan tanpa jejak di sistem, karena implan tidak menyentuh firmware resmi dan tidak muncul di log perangkat lunak. Yang tersisa sering kali hanya kehilangan aset yang sulit dijelaskan.
Karena itu, cara berpikir yang tepat berbeda. Untuk phishing, pertahanan ada di kebiasaan dan edukasi. Untuk serangan rantai pasok perangkat keras, pertahanan ada di proses pengadaan dan verifikasi fisik, mulai dari memilih penjual resmi sampai menjalankan pemeriksaan keaslian sebelum perangkat dipakai untuk menyimpan aset.
Apakah ini serangan pertama pada hardware wallet?
Bukan, tetapi bentuknya berbeda dari kasus sebelumnya. Hardware wallet sudah lama menjadi sasaran, mulai dari serangan phishing terhadap pengguna sampai eksploitasi bug firmware. Yang membuat kasus ini menonjol adalah modifikasi fisik pada perangkat yang sudah diproduksi, bukan serangan lewat perangkat lunak atau kelalaian pengguna.
Laporan dari peneliti menyebut serangan rantai pasok dan implan perangkat keras sering dibicarakan sebagai kemungkinan teoretis, tetapi jarang ditemukan nyata di lapangan. Karena itulah kasus ini menarik perhatian besar. Ia menunjukkan bahwa ancaman yang selama ini dianggap skenario jauh ternyata bisa diwujudkan, setidaknya pada perangkat yang melewati jalur distribusi tidak resmi.
Implikasinya melampaui satu merek. Setiap perangkat keras yang mengandalkan rantai distribusi panjang menghadapi risiko yang sama, karena tidak ada cara bagi perangkat untuk membuktikan bahwa rangkaian fisiknya tidak pernah disentuh. Yang bisa diverifikasi secara digital hanyalah firmware, bukan komponen elektroniknya, dan celah itulah yang dimanfaatkan.
Untuk pengguna, kesimpulannya sederhana: kepercayaan pada hardware wallet bertumpu pada jalur pembelian sebanyak pada teknologinya. Chip yang kuat tidak banyak menolong kalau perangkat yang membungkusnya sudah dimodifikasi sebelum sampai ke tanganmu.
Ada satu pelajaran tambahan yang sering terlewat: verifikasi keaslian sebaiknya dilakukan sebelum perangkat dipakai untuk menyimpan aset berharga, bukan sesudah. Banyak pengguna baru menjalankan pemeriksaan setelah dana sudah masuk, padahal pada titik itu frasa pemulihan sudah terlanjur ditampilkan di layar dan sudah bisa dibaca implan. Urutan yang benar adalah verifikasi dulu, baru pindahkan aset, dan itu berlaku untuk perangkat baru maupun perangkat bekas dari sumber yang tidak jelas.
FAQ
Apakah perangkat Ledger saya ikut terdampak?
Kemungkinan besar tidak, kecuali kamu membelinya lewat reseller tidak resmi seperti CryptoBilis. Perangkat dari Ledger langsung atau reseller resmi tidak melewati jalur yang disusupi, dan Ledger menegaskan jalur resmi tetap aman.
Apakah memperbarui firmware bisa menghilangkan implan?
Tidak. Implan ini adalah perangkat keras yang menempel di dalam casing, jadi pembaruan software tidak menyentuhnya. Satu-satunya cara memastikan perangkat bersih adalah memeriksa asalnya dan menjalankan genuine check, atau menggantinya dengan unit dari jalur resmi.
Kalau recovery phrase saya sudah bocor, apa yang harus dilakukan?
Buat dompet baru dengan recovery phrase baru di perangkat yang sudah dipastikan asli, lalu pindahkan seluruh aset ke dompet baru itu. Jangan menunda, karena pemilik frasa lama bisa memindahkan saldo kapan saja tanpa memerlukan perangkat fisikmu.
Apakah hardware wallet masih layak dipakai?
Masih, selama dibeli dari jalur resmi dan diverifikasi keasliannya. Kasus ini menyerang rantai distribusi, bukan desain chip-nya, jadi praktik membeli dari sumber terpercaya tetap menjadi pertahanan utama.
Apakah kerugiannya sudah pasti USD 86 juta?
Angka itu adalah perkiraan yang dikaitkan dengan kasus ini, dan beberapa laporan menyebut kerugian bisa melebihi jumlah tersebut. Belum ada angka final yang dipublikasikan secara resmi, jadi anggap angka ini sebagai estimasi sementara.
Rincian teknis reverse engineering implan bisa dibaca langsung di Grand Idea Studio, sementara konfirmasi dari sisi Ledger dan dampaknya dirangkum di SecurityWeek serta CoinDesk. Untuk memverifikasi keaslian perangkatmu sendiri, ikuti panduan resmi pemeriksaan integritas perangkat keras di support.ledger.com.
Rekomendasi Tools & Layanan
Mau langsung nyobain AI yang dibahas di artikel ini tanpa setup ribet? AI token plan Alibaba Cloud ngasih akses ke Qwen, DeepSeek, dan model lain lewat satu API — dan platform Qwen buat build agent sendiri. Free tier-nya cukup buat eksperimen pertama.
💬 Komentar (0)
Belum ada komentar. Jadilah yang pertama! 💬