Ledger Palsu Beredar di Asia Tenggara, Kerugian Tembus Rp1,4 Triliun

Sedikitnya US$90 juta (sekitar Rp1,4 triliun) raib dari dompet kripto pengguna setelah beredar perangkat Ledger palsu yang disisipi perangkat sadap. Ledger mengonfirmasi bahwa perangkat yang dijual oleh CryptoBilis, reseller berbasis di Asia Tenggara, mengandung implan LTE yang dirancang mencuri frasa pemulihan 24 kata.

Insiden ini mencuat setelah tim keamanan Donjon milik Ledger pada 13 Oktober 2026 mengumumkan temuan tersebut. Namun, perusahaan belum merilis angka resmi kerugian. "Angka yang beredar berasal dari pihak ketiga dan belum kami verifikasi sepenuhnya," ujar perwakilan Ledger, seraya menegaskan bahwa sistem inti, layanan, dan infrastruktur mereka tidak tersusupi.

Modus operandi serangan ini terbilang canggih. Implan yang tertanam di dalam casing perangkat membaca frasa pemulihan langsung dari layar saat proses pengaturan dompet. Prosesor mungil di dalamnya menerjemahkan 24 kata yang muncul, lalu mengirimkannya melalui jaringan seluler 4G menggunakan eSIM bawaan. Dengan begitu, penyerang tidak perlu menembus chip Secure Element yang menjadi benteng utama Ledger.

Frasa pemulihan adalah kunci utama untuk memulihkan akses dompet di perangkat apa pun. Jika jatuh ke tangan yang salah, dana bisa dikuras dari jarak jauh. Ledger menegaskan bahwa serangan ini tidak mengubah transaksi atau merusak chip pelindung kunci, melainkan menargetkan celah pada rantai pasok.

Firma keamanan Tibane Labs mengidentifikasi tiga generasi implan dengan tingkat kecanggihan yang meningkat. Mereka membeli versi terbaru dari platform e-commerce Jepang, yang dikirim dari Malaysia. Temuan ini memicu kekhawatiran bahwa perangkat cacat bisa menembus berbagai saluran distribusi, tidak hanya melalui satu reseller.

Ledger menyebut jumlah perangkat terdampak "terbatas" dan semua kasus terkonfirmasi terkait CryptoBilis. CryptoBilis pun menghentikan penjualan dompet perangkat keras hingga investigasi selesai. Ledger juga meminta reseller di Asia Tenggara dan Hong Kong untuk menangguhkan penjualan.

Sejumlah klaim lain masih belum terverifikasi. Mantan CEO Mt. Gox, Mark Karpelès, menduga Ledger Flex yang dibeli di bandara Singapura mengandung implan mata-mata, tetapi Ledger belum mengaitkannya dengan CryptoBilis. Di Jerman, MediaMarkt Saturn menghentikan sementara penjualan Ledger setelah seorang pelanggan melaporkan adanya implan, namun tidak ada dana yang hilang. Inspeksi Ledger terhadap stok ritel Eropa tidak menemukan tanda-tanda manipulasi.

Pesaing di pasar dompet kripto bergerak cepat. Trezor menyatakan tidak menemukan perangkat cacat dari CryptoBilis, tetapi tetap memutus hubungan dengan reseller tersebut. OneKey mencabut otorisasi CryptoBilis dan mengganti perangkat yang dibeli antara 1 Maret dan 13 Oktober secara gratis.

Meski demikian, Ledger belum mengungkap jumlah pasti pengguna terdampak, total kerugian, dan bagaimana unit cacat bisa masuk ke stok CryptoBilis. Yang jelas, serangan ini menyasar rantai pasok satu perusahaan, bukan kode atau jaringan Bitcoin dan Ethereum. Reaksi pasar pun minim: Bitcoin turun 0,4% dan Ethereum melemah 1,8% pada pekan yang berakhir 16 Oktober.

"Jika Anda membeli perangkat dari CryptoBilis dalam 90 hari terakhir dan belum mengaturnya, tunda dulu. Implan hanya aktif saat pengaturan," imbau Ledger.

Ledger menyediakan fitur Genuine Check di aplikasinya untuk memverifikasi keaslian Secure Element. Namun, fitur ini tidak bisa mendeteksi modifikasi fisik jika chip tersebut masih utuh. Artinya, hasil tes yang lolos tidak menjamin perangkat bebas dari implan.

Bagi pengguna di Indonesia, risiko ini relevan mengingat banyak investor kripto yang membeli perangkat keras dari marketplace internasional atau reseller tidak resmi. Otoritas Jasa Keuangan (OJK) dan Bappebti belum mengeluarkan pernyataan resmi terkait insiden ini, tetapi prinsip kehati-hatian tetap berlaku: pastikan perangkat dibeli dari kanal resmi dan frasa pemulihan tidak pernah dilihat orang lain.

Jika sudah terlanjur mengatur perangkat dari CryptoBilis, langkah paling aman adalah memindahkan aset ke dompet baru dengan frasa pemulihan yang baru dihasilkan. Frasa lama yang telah bocor menjadi tidak berguna. CryptoBilis juga memperingatkan agar pengguna waspada terhadap tawaran "pemulihan dana" yang biasanya merupakan penipuan.

Ke depan, publik menanti angka resmi kerugian dari Ledger untuk membandingkan estimasi pihak ketiga. Jika Ledger mengonfirmasi adanya implan pada perangkat yang dibeli dari situs resmi atau ritel Eropa, skala masalah bisa membesar. Sementara itu, investor yang enggan mengelola frasa pemulihan sendiri dapat mempertimbangkan eksposur Bitcoin melalui ETF spot sebagai alternatif yang lebih ter regulasi.