Ledger menghentikan penjualan oleh reseller-nya di Asia Tenggara, CryptoBilis, setelah dompet milik pelanggan yang membeli perangkat melalui saluran tersebut dikuras dengan nilai kerugian diperkirakan mencapai $72 juta hingga hampir $90 juta.

Produsen dompet perangkat keras itu mengatakan sedang menyelidiki kerugian tersebut dan telah meminta CryptoBilis untuk menghentikan sementara semua penjualan dan pengiriman perangkat Ledger hingga penyelidikan selesai. Ledger menyarankan pengguna yang membeli dari reseller tersebut dalam 90 hari terakhir agar tidak menyiapkan perangkat yang belum digunakan, serta memindahkan aset ke perangkat Ledger baru dengan frasa pemulihan baru jika perangkat mereka sudah digunakan. Ledger mengatakan akan terus memberi kabar kepada pelanggan seiring berlanjutnya penyelidikan.

Estimasi kerugian on-chain berbeda-beda. Analis Specter menelusuri sepuluh alamat penampung dan menghitung dana masuk dari ratusan dompet korban di Ethereum, TRON, dan Bitcoin, sehingga total kerugian diperkirakan lebih dari $86 juta dan jumlahnya masih terus bertambah. Analis tanuki42 memperkirakan angkanya lebih dari $72 juta, sementara MistTrack memperkirakan hampir $90 juta. Ledger belum mengonfirmasi jumlah kerugian dalam dolar.

CryptoBilis mengaku sebagai penjual resmi produk Ledger di Malaysia dan menjual perangkat di Indonesia, Malaysia, dan Filipina. Perusahaan tersebut belum menanggapi permintaan komentar.

Mekanisme yang diduga digunakan adalah manipulasi rantai pasokan, bukan kerentanan dalam perangkat lunak Ledger. Pendiri Binance Changpeng Zhao mengatakan informasi yang tersedia mengarah pada serangan rantai pasokan di satu vendor, dan kemungkinan sejumlah kecil orang telah membeli perangkat palsu atau yang telah dimanipulasi. Sementara itu, peneliti keamanan Taylor Monahan menegaskan bahwa tidak ada kerentanan zero-day pada produk Ledger dan memperingatkan bahwa pemindahan dana secara terburu-buru membuat pengguna lebih berisiko terkena phishing daripada insiden itu sendiri.

Sebagian dana curian sudah berpindah. Pelacakan on-chain menunjukkan bahwa pelaku yang dicurigai telah mencuci sekitar 430 ETH, senilai kira-kira $1,07 juta, melalui layanan pencampur Tornado Cash. Sementara itu, dompet yang dilacak Arkham dan dikaitkan dengan pencurian tersebut masih menyimpan sekitar $70,6 juta. Tether telah membekukan USDT di alamat-alamat yang terkait dengan pencurian itu, setelah itu pelaku mulai menukar USDT menjadi USDD, stablecoin berbasis Tron yang tidak dapat dibekukan oleh Tether.

Ledger menolak memberikan komentar lebih lanjut. Penyelidikannya masih berlangsung.