Produsen dompet perangkat keras Ledger sedang menyelidiki laporan kehilangan dana yang melibatkan pelanggan di Asia Tenggara yang membeli perangkat dari reseller resmi CryptoBilis, menurut pernyataan yang diunggah oleh Ledger Support di X pada 9 Oktober. Perusahaan mengatakan telah meminta CryptoBilis untuk menghentikan sementara semua penjualan dan pengiriman perangkat Ledger sebagai langkah pencegahan selama penyelidikan berlangsung.

Dalam unggahan yang sama, Ledger menyarankan pengguna yang membeli perangkat dari reseller tersebut dalam 90 hari terakhir agar tidak memulai pengaturan jika mereka belum melakukannya. Pengguna yang telah mengatur perangkat mereka sebaiknya mempertimbangkan untuk memindahkan aset ke penanda tangan Ledger baru yang dibuat dengan frasa seed baru. Perusahaan mengarahkan pelanggan yang terdampak ke saluran dukungan resmi dan menyatakan akan memberikan informasi terbaru seiring berjalannya penyelidikan. CryptoBilis terdaftar sebagai reseller resmi Ledger yang beroperasi di Indonesia, Malaysia, dan Filipina.

Investigasi On-Chain dan Perkiraan Kerugian

Secara terpisah, penyelidik on-chain pseudonim Specter melaporkan telah melacak alamat-alamat pencurian yang menerima aliran dana dari ratusan dompet korban di Ethereum, Tron, dan Bitcoin, dengan perkiraan total kerugian lebih dari $86 juta. Data Arkham yang dikutip dalam pemberitaan menunjukkan saldo sekitar $42 juta dalam ETH, $17,6 juta dalam BTC, dan $16,5 juta dalam USDT di alamat-alamat yang dilacak. Ledger belum mengonfirmasi angka kerugian, jumlah pelanggan yang terdampak, atau apakah semua pencurian yang dilacak terkait dengan pembeli CryptoBilis.

Penyebab terkurasnya dana yang dilaporkan masih belum jelas. Belum ada pengumuman yang mengonfirmasi adanya manipulasi perangkat atau kompromi terhadap perangkat keras, firmware, maupun infrastruktur Ledger sendiri. Dompet perangkat keras dirancang untuk menyimpan kunci privat secara offline, tetapi kompromi sebelum pengiriman—misalnya perangkat dikirim dengan frasa pemulihan yang sudah diketahui—dapat membuat dana terekspos tanpa memerlukan tanda tangan pemilik. Peneliti independen, termasuk Bitquery, telah menerbitkan perkiraan yang lebih tinggi, melebihi $90 juta di sejumlah blockchain tambahan, meskipun angka-angka ini masih merupakan penilaian pihak ketiga.

Risiko Rantai Pasok Menjadi Sorotan

Insiden ini menarik perhatian media kripto dan platform sosial, serta menyoroti risiko berkelanjutan dalam rantai pasok dompet perangkat keras. Berdasarkan informasi yang tersedia, pengguna yang membeli perangkat Ledger langsung dari produsen atau melalui kanal resmi lainnya, di luar penjual kembali dan rentang waktu yang disebutkan, belum disarankan untuk mengambil tindakan. Ledger sebelumnya pernah mendapat sorotan terkait insiden keamanan, meskipun kasus ini tampaknya terbatas pada lingkup tertentu sambil menunggu temuan lebih lanjut.