Dompet Terkait Ledger Kehilangan Sekitar $93 Juta, Dugaan Mengarah ke Rantai Pasok

Dompet kripto yang terhubung ke perangkat keras Ledger kehilangan sekitar $93,4 juta di tujuh jaringan blockchain, setelah para pelaku diduga menyiapkan serangan selama berminggu-minggu dengan menguji transfer, persetujuan transaksi, dan pemindahan dana secara otomatis. Yang membuat kasus ini menonjol bukan sekadar besarnya angka, melainkan arah dugaannya: perangkat yang justru dipakai orang supaya asetnya lebih aman diduga sudah bermasalah sebelum sampai ke tangan pembeli.

Untuk mengerti kenapa ini serius, perlu dipahami cara kerja dompet keras. Alat semacam ini menyimpan "kunci" kepemilikan aset — biasa disebut recovery phrase — secara terpisah dari internet, supaya tidak mudah dicuri lewat virus di komputer atau ponsel. Keamanannya bertumpu pada satu asumsi sederhana: hanya pemiliknya yang tahu kunci itu. Kalau perangkat sudah dimanipulasi sejak dari jalur distribusi, sebelum kotaknya dibuka pembeli, asumsi itu runtuh. Pihak lain bisa ikut mengetahui kuncinya, dan sejak saat itu dana bisa dipindahkan kapan saja tanpa pemilik menyadarinya.

Kerugian menimpa 471 alamat, dengan sebagian besar aktivitas terjadi pada 9 Oktober. Dompet berbasis Tron menyumbang kerugian terbesar, sekitar $69,98 juta dalam USDT, sementara kerugian terkait Bitcoin mencapai $17,59 juta. Yang menarik, dompet yang terkena berkisar dari yang baru berumur beberapa hari sampai yang sudah lebih dari lima tahun — artinya persoalannya tidak terbatas pada pengguna baru yang mungkin ceroboh.

Ledger kini menyelidiki pengguna di Asia Tenggara yang membeli perangkat melalui distributor CryptoBilis, dan telah meminta distributor itu menghentikan penjualan serta pengiriman. Pembeli yang mengambil perangkat dalam 90 hari terakhir dan belum mengaktifkannya diminta untuk tidak menyetel alat tersebut. Mereka yang sudah terlanjur mengaktifkan diminta memindahkan aset ke perangkat baru dengan recovery phrase yang dibuat baru — langkah yang masuk akal kalau kekhawatirannya adalah kunci lama sudah bocor.

Sebagian dana yang dicuri bergerak ke tempat yang sulit dilacak: lebih dari $3 juta dalam Ether dialihkan ke Tornado Cash, layanan yang mencampur transaksi sehingga jejak asal-usul dana jadi kabur. Tidak semua lepas begitu saja — Tether sempat membekukan $10 juta dalam USDT, meski sekitar $14,6 juta dalam USDD tidak bisa dibekukan.

Di sisi bukti teknis, Mark Karpelès menyebut menemukan modul seluler tak resmi di dalam sebuah perangkat Ledger yang dibeli di Malaysia, yang tampak mampu memantau data di layar. Namun temuan ini belum dikaitkan langsung dengan pencurian, jadi belum bisa disebut sebagai penyebab pasti. Gambarannya masih berkembang. CryptoBilis sendiri berganti kepemilikan awal tahun ini, dan mantan CEO-nya mengatakan sudah tidak lagi punya akses ke sistem perusahaan. Distributor menyatakan akan memberi kabar lanjutan dalam tiga hari kerja.

Yang pantas dipantau ke depan adalah hasil penyelidikan itu: apakah modul yang ditemukan benar terhubung dengan pencurian, dan sejauh mana perangkat dari jalur distribusi tertentu terdampak. Selama itu belum jelas, sikap paling aman bagi pemegang perangkat dari distributor yang disebut adalah mengikuti imbauan resmi — tidak mengaktifkan alat yang diragukan, dan memperlakukan kunci lama seolah sudah tidak rahasia lagi.