Ledger Konfirmasi Perangkat Disusupi, Kerugian Ditaksir Lebih dari $86 Juta

Ledger memastikan sejumlah dompet perangkat kerasnya ditemukan sudah disusupi implan tidak sah, sementara sistem dan infrastruktur perusahaan disebut tidak dibobol. Estimasi di jaringan (on-chain) menaksir kerugian yang terkait insiden ini lebih dari $86 juta.

Satu hal yang penting dipahami lebih dulu: dompet perangkat keras dibuat justru untuk menyimpan aset kripto secara offline, terpisah dari internet, supaya aman dari serangan daring. Jadi kekuatannya ada pada perangkat fisiknya sendiri. Di sinilah letak persoalannya kali ini. Yang ditembus bukan server atau sistem perusahaan, melainkan perangkatnya secara fisik — ada komponen tambahan yang diselipkan ke dalam alat sebelum sampai ke tangan pengguna. Perlindungan offline tidak banyak berguna kalau alatnya sudah diutak-atik sejak sebelum dipakai, karena celahnya ada di dalam perangkat, bukan di jaringan.

Karena itu arah mitigasinya pun bergeser ke perangkat, bukan ke akun daring. Ledger meminta pengguna untuk tidak mengaktifkan (inisialisasi) dompet perangkat keras yang belum pernah mereka pakai. Perusahaan juga menyarankan untuk mempertimbangkan memindahkan aset ke dompet baru yang dibuat dengan frasa pemulihan (recovery phrase) yang baru — logikanya, kalau alat lama berpotensi sudah tersusupi, memulai dari frasa yang benar-benar baru memutus kaitan dengan perangkat yang diragukan. Sebagai respons, CryptoBilis, salah satu distributor dompet perangkat keras, menghentikan sementara penjualannya.

Yang belum terang adalah seberapa luas sebarannya. Ledger menyebut "sebagian" perangkat, dan angka kerugian itu sendiri masih berupa taksiran dari data di jaringan, bukan hitungan final. Petunjuk yang paling menentukan bagi tiap pengguna sederhana: apakah perangkat yang dipegang masih baru dan belum pernah diaktifkan. Selama gambaran soal cakupan dan jumlah perangkat yang terdampak belum lengkap, kehati-hatian pada sisi perangkat fisik — bukan sekadar menjaga sisi daring — yang jadi acuan.