Dana di Dompet Ledger Terkuras, Kerugian Tembus Setidaknya $92,9 Juta

Dana senilai setidaknya **$92,9 juta** terkuras dari **311 dompet** perangkat keras Ledger, dan jumlahnya masih bisa bertambah seiring penelusuran berjalan. Yang membuat kasus ini beda dari pencurian kripto biasa: korban sama-sama membeli perangkatnya lewat satu reseller di Asia Tenggara, CryptoBilis. Dugaan yang sedang didalami adalah perangkatnya sudah bermasalah sebelum sampai ke tangan pembeli.

Untuk paham kenapa itu berbahaya, ingat cara kerja dompet perangkat keras. Alat seperti ini dipakai justru supaya kunci rahasia dompet — yang biasa disebut *seed phrase* atau frasa pemulihan — tidak pernah keluar dari perangkat dan tidak pernah menyentuh internet. Siapa pun yang memegang frasa itu, memegang seluruh isi dompet. Jadi kalau ada pihak yang bisa menyadap frasa tersebut pada saat perangkat pertama kali disetel, ia tidak perlu membobol apa pun lagi di kemudian hari — ia tinggal menunggu, lalu memindahkan dana kapan saja.

Itulah pola yang terlihat di sini. Dana mengalir keluar di lima jaringan sekaligus — Tron, Bitcoin, Ethereum, BNB Chain, dan Polygon — dengan aktivitas yang masih berlanjut hingga 9 Oktober. Penarikan terakhir yang teramati terjadi pukul 16:37 UTC, dan pada saat itu sekitar **$79 juta** masih bisa dilacak jejaknya di blockchain. Tether sempat membekukan **$10 juta**. Angka totalnya pun belum tunggal: ada perhitungan terpisah yang menyebut dugaan kerugian $93,4 juta di 471 alamat, tetapi Ledger belum mengonfirmasi angka mana pun, dan penyebab persis insiden ini juga belum dipastikan.

Ledger menyatakan sedang menyelidiki laporan dari pelanggan yang membeli perangkat lewat CryptoBilis, dan sudah meminta reseller itu menghentikan penjualan serta pengiriman. Pembeli yang mengambil perangkat dari reseller tersebut dalam 90 hari terakhir diimbau tidak menyetel perangkat yang belum terpakai. Sementara yang perangkatnya sudah terlanjur diaktifkan disarankan memindahkan asetnya ke penyimpan baru dengan frasa pemulihan yang baru pula — logikanya sederhana: kalau frasa lama mungkin sudah bocor sejak awal, satu-satunya cara aman adalah mulai dari frasa yang belum pernah tersentuh pihak lain.

Ada satu petunjuk yang memperkuat kecurigaan soal perangkat yang dirutak, meski belum terbukti terhubung. Mantan CEO Mt. Gox, Mark Karpelès, mengaku menemukan sebuah perangkat Ledger asal Malaysia yang di dalamnya tersembunyi komponen tambahan yang bisa merekam frasa pemulihan saat perangkat disetel. Sampai sekarang belum ada kaitan yang dibuktikan antara perangkat itu dan pengurasan dana yang dilaporkan — jadi ini tetap sebatas temuan terpisah, bukan kesimpulan.

Yang belum jelas masih banyak: angka kerugian final, apakah benar titik lemahnya ada di rantai pasok reseller, dan sejauh mana sebarannya. Yang bisa menggeser gambaran ke arah lebih serius adalah kalau total yang terlacak terus naik atau muncul laporan korban dari jalur pembelian lain; sebaliknya, konfirmasi resmi soal penyebab dan pemulihan dana yang dibekukan akan memperjelas batas kasusnya. Pelajaran yang bisa langsung dipakai pembaca, di luar kasus Ledger sendiri: pada dompet perangkat keras, dari mana perangkat dibeli sama pentingnya dengan perangkatnya itu sendiri, karena keamanannya bertumpu pada frasa pemulihan yang tidak boleh pernah dilihat siapa pun.