Ledger Selidiki Penarikan Kripto US$93,2 Juta yang Terkait Perangkat dari Reseller

Ledger sedang menyelidiki hilangnya dana kripto senilai sekitar US$93,2 juta dari 315 dompet, yang dikaitkan dengan perangkat dompet keras (hardware wallet) yang dijual melalui reseller Asia Tenggara bernama CryptoBilis. Penarikan dana itu dilaporkan terjadi pada 9 Oktober, dengan saldo yang ditelusuri sampai pukul 07:00 UTC pada 10 Oktober.

Inti ceritanya bukan pada teknologi dompetnya, melainkan pada jalur bagaimana perangkat itu sampai ke tangan pembeli. Dompet keras pada dasarnya mengunci aset dengan sebuah "seed phrase", yaitu rangkaian kata rahasia yang menjadi kunci utama atas seluruh dana. Siapa pun yang mengetahui seed phrase itu bisa memindahkan aset dari mana saja, tanpa perlu menyentuh perangkat fisiknya. Di situlah letak masalahnya: kalau sebuah unit sudah disiapkan atau diaktifkan lebih dulu oleh pihak lain sebelum sampai ke pembeli, kunci rahasia itu bisa jadi sudah diketahui orang lain sejak awal. Pembeli merasa memegang dompet baru yang aman, padahal kuncinya tidak lagi hanya di tangannya.

Sebagian besar kehilangan terjadi di jaringan TRON, yakni US$70,5 juta, disusul Bitcoin US$16,8 juta dan Ethereum US$3,7 juta. Dana lain juga terkena di jaringan Solana, BNB Chain, dan Polygon. Tether sempat membekukan US$10 juta dalam bentuk USDT yang tersebar di 20 dompet, langkah yang menahan sebagian dana agar tidak bisa dipindahkan lebih jauh.

Ledger meminta CryptoBilis menghentikan sementara seluruh penjualan dan pengiriman selama penyelidikan berlangsung. Kepada pembeli yang baru saja mendapatkan perangkat, Ledger menyarankan untuk tidak mengaktifkan unit yang belum dipakai, sementara pengguna yang perangkatnya sudah aktif diimbau memindahkan asetnya ke perangkat baru dengan seed phrase yang dibuat dari nol. Ledger menyatakan sistem dan layanannya sendiri tidak ikut dibobol dalam kejadian ini.

Kabar ini terasa dekat bagi pembaca di kawasan ini, karena korban yang teridentifikasi mencakup pengguna di Indonesia, Malaysia, dan Filipina. Yang masih belum pasti adalah seberapa luas sebenarnya dampaknya: angka-angka di atas berasal dari penelusuran saldo sampai 10 Oktober pagi waktu UTC, dan penyelidikan masih berjalan. Yang perlu diperhatikan ke depan adalah hasil pemeriksaan resmi atas rantai distribusi perangkat serta apakah jumlah dompet dan nilai yang terdampak bertambah seiring data baru masuk. Pelajaran yang bisa langsung dipakai pembaca tetap sama: keamanan dompet keras sangat bergantung pada memastikan perangkat benar-benar baru dan seed phrase dibuat sendiri, bukan diterima dalam keadaan sudah tersetel.