Ledger Temukan Implan Ilegal di Dompet Kripto, Kerugian Ditaksir Rp1,4 Triliun

Produsen dompet kripto Ledger memastikan setidaknya satu perangkat yang beredar di pasar Asia Tenggara telah dimodifikasi secara fisik dengan komponen ilegal. Temuan ini menjadi bukti pertama adanya sabotase rantai pasok yang selama ini hanya menjadi spekulasi di kalangan peneliti keamanan blockchain.

Dalam pernyataan resmi yang dirilis Jumat (10/10/2026), tim dukungan Ledger mengungkapkan bahwa perangkat milik salah satu korban mengandung "implan perangkat keras tanpa otorisasi". Seluruh kasus yang terkonfirmasi hingga kini mengarah pada produk yang didistribusikan oleh CryptoBilis, mitra penjualan asal Asia Tenggara yang beroperasi di Indonesia, Malaysia, dan Filipina. Menyusul temuan tersebut, CryptoBilis menghentikan sementara penjualan seluruh stok dompet perangkat keras hingga investigasi tuntas.

Insiden ini pertama kali mencuat pada Jumat pekan lalu ketika Ledger mengakui sedang menyelidiki laporan dana nasabah yang hilang. Meski perusahaan belum merilis angka kerugian resmi, peneliti on-chain independen memperkirakan dana yang terkuras mencapai US$86 juta hingga US$93 juta—setara Rp1,4 triliun—dari lebih dari 300 dompet di jaringan Bitcoin, Ethereum, dan Tron. Ledger menegaskan infrastruktur internal, sistem, dan layanan intinya tidak tersentuh.

Ledger menyatakan tengah berkoordinasi dengan otoritas terkait sejak Minggu. Perusahaan juga mengingatkan seluruh jaringan distributornya untuk hanya memasok produk dari saluran resmi dan melarang keras pengisian ulang stok dari barang retur. Bagi pelanggan yang terlanjur membeli lewat CryptoBilis, Ledger memberikan panduan tegas: jangan menginisialisasi perangkat yang belum digunakan, dan jika sudah aktif, segera pindahkan dana ke seed baru pada perangkat Ledger resmi.

"Keamanan tidak pernah statis dan insiden ini menegaskan mengapa kami terus meninjau serta memperkuat proses distribusi dan anti-tamper," tulis Ledger dalam pembaruan 11 Oktober.

Kasus ini kembali memantik pertanyaan besar tentang keamanan dompet perangkat keras. Setelah keruntuhan bursa FTX pada 2022, jutaan investor berbondong-bondong memindahkan aset ke penyimpanan mandiri, mengandalkan perangkat fisik dari produsen seperti Ledger dan Coinkite. Namun, penyimpanan fisik ternyata tidak kebal. Pada Juli 2026, cacat pada firmware pembuat seed Coldcard memungkinkan penyerang menguras US$100–130 juta dalam bentuk bitcoin.

Spekulasi mengenai bagaimana rantai pasok bisa ditembus masih mengalir deras. Pendiri Binance, Changpeng Zhao (CZ), melalui unggahan di X menuduh penyerang "diduga membeli reseller dan memaksa mereka menandatangani perjanjian kerahasiaan untuk tutup mulut". Tuduhan itu belum diverifikasi independen, dan CryptoBilis belum memberikan tanggapan resmi atas permintaan komentar.

Di Indonesia, insiden ini menjadi alarm bagi ribuan pengguna dompet kripto yang mengandalkan perangkat keras sebagai benteng terakhir. Praktik pembelian melalui reseller tidak resmi atau marketplace abu-abu masih marak karena selisih harga dan ketersediaan stok. Otoritas Jasa Keuangan (OJK) dan Bappebti perlu memperketat pengawasan distribusi aset kripto, termasuk mewajibkan registrasi reseller dan audit rantai pasok berkala. Tanpa itu, celah yang sama bisa kembali dieksploitasi.

Ke depan, pertanyaannya bukan lagi sekadar apakah dompet perangkat keras aman, melainkan seberapa transparan produsen mengelola jalur distribusinya. Ledger berjanji memperkuat kontrol reseller dan mendorong standar industri baru dalam praktik chain-of-custody. Namun, selama rantai pasok masih bisa disusupi di titik penjualan, kepercayaan pengguna akan terus diuji.