Perusahaan dompet perangkat keras (hardware wallet) Ledger mengumumkan bahwa semua kasus yang terkonfirmasi dalam insiden pengurasan dana yang terjadi pekan lalu terkait dengan perangkat yang dijual melalui reseller CryptoBilis. Pihak Ledger menegaskan sistem internal dan jalur penjualan langsung mereka tetap aman dan tidak terpengaruh sama sekali.
Dalam pembaruan yang dirilis pada Minggu (24/3/2024), Ledger menyatakan bahwa jumlah perangkat yang terdampak terbatas. Perusahaan asal Paris ini sedang bekerja sama dengan otoritas terkait dan menghubungi pengguna yang terdampak.
CryptoBilis sendiri telah mengonfirmasi bahwa mereka telah menghentikan seluruh penjualan dompet perangkat keras mereka. Insiden ini mulai diselidiki Ledger pada Jumat (22/3/2024) setelah sejumlah pengguna di Asia Tenggara yang membeli perangkat dari CryptoBilis melaporkan kehilangan dana mereka.
Seorang penyelidik on-chain, Specter, menelusuri lebih dari USD 86 juta (sekitar Rp1,3 triliun) dalam dugaan pencurian yang tersebar di jaringan Ethereum, Tron, dan Bitcoin. Ledger belum mengonfirmasi angka pasti tersebut maupun penyebab kerugian yang dialami para pengguna.
Lebih lanjut, tim penyelidik on-chain YFarmX melaporkan telah mengirimkan daftar lebih dari 450 dompet yang terdampak kepada Ledger. Analisis mereka menunjukkan bahwa pelaku memindahkan 2.810 ETH melalui mixer koin Tornado Cash dalam tiga tahap. Pelaku kemudian melanjutkan pergerakan dana melalui Zcash's shielded pool, sebelum menarik sekitar 3,28 juta USDC ke dalam tiga dompet baru yang berpotensi untuk dibekukan oleh Circle, penyedia stablecoin USDC.
Pelaku juga dilaporkan telah mengonversi 15 juta USDT curian menjadi USDD, sebuah stablecoin yang tidak dapat dibekukan oleh Tether. Setelah itu, pelaku menukar kembali 5,1 juta USDT dan mengirimkan sekitar 4,23 juta USDT ke alamat deposit Binance, menurut YFarmX. Perusahaan Tether sendiri telah membekukan 10 juta USDT pada hari pertama, sementara 15.475 ETH, 203 BTC, dan 10 juta USDD masih belum terjangkau.
Temuan YFarmX ini belum diverifikasi secara independen.
Sebelumnya, seorang pengguna X bernama Johannes mengklaim menemukan perangkat Ledger yang telah dimodifikasi di Eropa setelah membeli dua unit dari toko ritel. Ia menduga adanya modifikasi serupa seperti penambahan kabel dan modul LTE pada kedua perangkat tersebut, serta menyerukan Ledger untuk melakukan penarikan produk (product recall).
Namun, klaim Johannes ini juga belum terverifikasi secara independen. Pembaruan dari Ledger sendiri secara spesifik menyebutkan bahwa semua kasus yang terkonfirmasi hingga saat ini melibatkan perangkat dari CryptoBilis. Johannes menyatakan bahwa ia akan mengirimkan perangkat kedua yang ia miliki ke Ledger untuk dianalisis lebih lanjut.
Ledger dalam pembaruannya mengingatkan para reseller dan distributor resmi untuk hanya mendapatkan produk melalui saluran yang sah dan tidak pernah menjual kembali produk yang dikembalikan. Perusahaan juga memperingatkan pengguna agar tidak membeli dari reseller yang tidak resmi, karena risiko memperoleh perangkat yang mencurigakan, palsu, atau telah dimodifikasi sangat tinggi.
Perusahaan sedang meninjau kembali kontrol terhadap reseller dan meningkatkan perlindungan perangkat keras. Ledger juga mengajak pelaku industri lain untuk bekerja sama dalam praktik rantai pasok dan anti-tamper.
Ledger mengulangi saran kepada pembeli dari CryptoBilis untuk tidak mengatur (set up) perangkat yang belum digunakan. Bagi yang sudah melakukannya, disarankan untuk memindahkan dana mereka ke seed phrase baru pada perangkat yang dibeli langsung dari Ledger. Perusahaan juga memperingatkan potensi penipuan yang memanfaatkan insiden ini, dengan menegaskan bahwa Ledger tidak akan pernah menghubungi pengguna melalui telepon, pesan pribadi, atau meminta frasa pemulihan 24 kata.
Baca juga tulisan lainnya dari Dimas Ardianto
Penulis: Dimas Ardianto
Editor: Beritana Editor
