Telset.id – Investigasi yang masih berlangsung mengungkap bahwa reseller Ledger di Asia Tenggara dan Eropa menjual dompet hardware yang telah diretas. Perangkat tersebut disisipi modul eSIM dan LTE untuk mengeksfiltrasi recovery phrase pengguna. Setidaknya $93 juta dilaporkan telah dikuras dari saldo pengguna. Dompet hardware yang dijual langsung oleh Ledger sejauh ini tidak terdampak.
Temuan ini menjadi pukulan bagi anggapan bahwa dompet hardware seperti salah satu model Ledger selalu menjadi lapisan keamanan terakhir. Dompet pertama yang terjebak berasal dari reseller Cryptobilis, yang saat ini telah menghentikan seluruh penjualan dompet hardware semua merek. Unit bermasalah tersebut berasal dari sebuah toko di Malaysia, meski Cryptobilis juga berjualan di Indonesia dan Filipina.
Peneliti Mark Karpelès telah lama menelusuri dompet yang diretas. Salah satu unit diperoleh melalui Amazon Japan, dibeli dari penjual asal China dan dikirim dari Malaysia. Cryptobilis juga menjual merek dompet lain seperti Trezor, Coolwallet, dan Tangem, namun sejauh ini belum ada kabar kontaminasi di luar Ledger.
Ledger merekomendasikan agar pengguna yang membeli dompet dari Cryptobilis dalam 90 hari terakhir tidak melakukan setup awal. Sebab, di tahap itulah eksfiltrasi private key dilaporkan terjadi. Bagi yang sudah melakukannya, Ledger menyarankan memindahkan aset ke dompet baru dengan seed baru.
Pencurian data dilakukan dengan menyembunyikan flexible PCB di bawah display assembly untuk menangkap piksel yang menampilkan private key saat dimasukkan pada setup pertama. Informasi tersebut kemudian dikirim melalui kombinasi eSIM dan LTE yang disebut sebelumnya.
Ledger Palsu Ditemukan di MediaMarkt Jerman
Sementara itu, laporan baru datang dari Eropa. Techie bernama Johannes, yang tampaknya berada di Jerman, menemukan setidaknya dua dompet yang diretas di MediaMarkt, retailer teknologi dan peralatan rumah tangga yang dikenal luas. Ia membeli satu unit dan menemukan modifikasi hardware yang persis sama dengan unit asal Asia, sehingga memunculkan dugaan bahwa peristiwa di Asia dan Eropa saling berkaitan. Johannes lalu membeli unit kedua di lokasi MediaMarkt berbeda, dan unit itu pun terbukti telah dimodifikasi.
Menariknya, sebagian besar dompet yang diretas sejauh ini dipastikan merupakan unit baru, bukan barang retur. Pelaku sering membeli hardware baru lalu mengembalikannya ke toko dalam kondisi sudah dimodifikasi, sehingga pelanggan berikutnya yang tidak curiga menjadi korban.
Johannes meminta seorang karyawan MediaMarkt di salah satu toko untuk memeriksa informasi stok dompet tersebut. Setidaknya satu unit berasal dari Aqipa GmbH, distributor lintas Eropa, yang berarti radius dampaknya bisa jauh lebih luas daripada MediaMarkt atau Jerman.
Baca Juga:
Karena ini merupakan perkembangan yang masih baru, Ledger belum menerbitkan panduan apa pun, meski diperkirakan langkahnya akan mirip dengan rekomendasi sebelumnya. Dalam postingan blognya, Mark Karpelès mencatat bahwa iterasi awal dompet yang diretas dengan kartu eSIM memiliki implan buatan tangan. Namun yang mengkhawatirkan, hardware tambahan di temuan terbaru tampak diproduksi sesuai pesanan. Jika benar, hal ini bisa berarti ada jalur produksi di suatu tempat yang mencegat dompet Ledger dan memproduksi dompet yang diretas secara massal.
Ledger menerbitkan instruksi yang merinci cara pengguna memverifikasi integritas fisik dompet mereka, termasuk gambar setiap komponen, untuk setiap model dompet yang ditawarkan perusahaan, agar mereka dapat memeriksa dengan cermat keberadaan tambahan. Calon pengguna juga sebaiknya hanya mengunduh software dari URL situs resmi Ledger. Tugas itu menjadi lebih sulit karena banyaknya situs scam dengan software yang terjebak, yang berpura-pura menjadi situs resmi.
Bagi pengguna di Indonesia, temuan ini relevan mengingat Cryptobilis juga berjualan di pasar Tanah Air. Langkah verifikasi fisik dan pengunduhan software dari sumber resmi menjadi langkah awal yang bisa dilakukan. Panduan serupa soal keamanan perangkat dan ekosistem digital juga bisa ditemukan pada pembahasan player audio bit-perfect dan informasi trade-in Google Store.
[1] Referensi: Tom’s Hardware
Komentar
Belum ada komentar.