Sebuah laporan tentang chip spyware dompet Ledger adalah jenis cerita yang membuat bahkan pemegang kripto yang berhati-hati pun berhenti sejenak. Menurut liputan dari buletin Risky Bulletin dan laporan lanjutan, sebuah implan perangkat keras tersembunyi ditemukan di perangkat Ledger, mengubah produk yang dijual sebagai alat keamanan menjadi kemungkinan saluran pengawasan. Buletin yang sama juga menyoroti serangan siber terhadap supermarket dan dorongan Eropa agar kacamata pintar berbunyi saat merekam. Bersama-sama, hal-hal ini menunjukkan betapa besar privasi modern bergantung pada kepercayaan terhadap perangkat keras di sekitar kita.

Catatan tentang sumber: entri buletin itu sendiri adalah ringkasan singkat. Detail di bawah ini berasal dari liputan yang tersedia pada saat penulisan, dan beberapa angka dapat berubah seiring berlanjutnya investigasi.

Apa yang ditemukan di dalam dompet Ledger

Menurut laporan yang dipublikasikan, Ledger mengatakan perangkat keras tersembunyi telah diimplan ke dalam dompet yang dijual oleh reseller bernama CryptoBilis. Implan tersebut dilaporkan membaca frasa pemulihan pengguna dari layar perangkat dan mengirimkannya melalui jaringan seluler. Laporan memperkirakan kerugian sekitar $90 juta hingga $93 juta, meskipun angka pastinya bervariasi antar media.

Dua detail penting di sini. Pertama, masalah yang dilaporkan bukanlah cacat dalam desain inti dompet. Ini adalah perusakan terhadap unit tertentu yang sampai ke pembeli melalui reseller. Kedua, frasa pemulihan adalah kunci utama sebuah dompet. Siapa pun yang menangkapnya dapat memindahkan dana tanpa pernah menyentuh perangkat aslinya.

Ledger dilaporkan sedang meninjau bagaimana perangkat mereka sampai ke pembeli. Pertanyaan tentang berapa banyak unit yang terdampak, dan bagaimana implan ditambahkan, masih terus ditelusuri dalam laporan publik.

Mengapa perusakan rantai pasok perangkat keras merusak kepercayaan

Sebagian besar orang menganggap keamanan sebagai sesuatu yang terjadi setelah Anda menyalakan perangkat: kata sandi yang kuat, pembaruan, enkripsi. Perusakan rantai pasok menyerang langkah sebelumnya. Jika perangkat diubah sebelum sampai ke Anda, perlindungan perangkat lunak dapat dilewati atau diawasi dari dalam.

Dompet perangkat keras dibangun di atas janji sederhana: kunci Anda tidak pernah meninggalkan perangkat. Itu menjadikannya target bernilai tinggi. Implan yang hanya mengawasi layar dan meneruskan apa yang dilihatnya tidak perlu memecahkan kriptografi apa pun. Ia hanya perlu berada di antara perangkat dan pengguna.

Ini juga alasan mengapa cerita ini relevan di luar kripto. Router, ponsel, kunci keamanan, dan gadget lain yang kritis terhadap privasi bergantung pada asumsi yang sama: bahwa apa yang ada di dalam kotak adalah apa yang dikirim oleh produsen. Ketika rantai itu terputus, pembeli biasanya tidak memiliki cara yang jelas untuk menyadarinya. Insiden ini adalah pengingat bahwa kepercayaan pada perangkat mencakup kepercayaan pada semua orang yang menanganinya. Tema serupa tentang alat yang berperilaku dengan cara yang tidak dimaksudkan pemiliknya muncul dalam liputan kami tentang insiden agen AI keempat Anthropic, meskipun kasus itu melibatkan perangkat lunak, bukan perangkat keras.

Apa yang diinginkan UE dari kacamata pintar

Edisi Risky Bulletin yang sama mencatat bahwa UE ingin kacamata pintar berbunyi keras saat merekam. Idenya sederhana: jika kamera yang dapat dikenakan bisa menangkap orang tanpa sepengetahuan mereka, orang di sekitar harus mendapat sinyal yang jelas.

Ringkasan tersebut tidak menjelaskan mekanisme hukum atau jadwalnya, jadi sebaiknya perlakukan ini sebagai proposal untuk saat ini. Namun, ini terhubung dengan cerita Ledger. Dalam kedua kasus, kekhawatirannya adalah pengambilan tersembunyi: chip yang diam-diam mengawasi layar, atau kamera yang diam-diam mengawasi ruangan. Regulator dan peneliti keamanan bertemu pada prinsip yang sama, bahwa pengumpulan data tersembunyi harus dibuat terlihat atau dicegah sejak desain.

Buletin tersebut juga menyebutkan serangan siber yang mencairkan lemari pendingin supermarket dan membuat toko Ahold Delhaize offline di beberapa tempat. Ini adalah insiden terpisah, tetapi menggarisbawahi bagaimana kegagalan digital dapat memiliki konsekuensi yang sangat fisik.

Bagaimana pengguna yang peduli privasi dapat mengurangi risiko perangkat

Anda tidak dapat memeriksa setiap chip di setiap perangkat, tetapi Anda dapat mengurangi paparan Anda.

  • Beli dari produsen atau penjual resmi. Saluran reseller menambah langkah penanganan yang tidak dapat Anda lihat. Periksa daftar penjual resmi produsen sebelum membeli.
  • Periksa kemasan. Cari segel yang rusak, tanda-tanda penyegelan ulang, atau apa pun yang terlihat tidak biasa. Namun, jangan hanya mengandalkan kemasan.
  • Jangan pernah menggunakan frasa pemulihan yang sudah diatur sebelumnya. Jika perangkat tiba dengan frasa yang sudah tertulis, berhenti menggunakannya. Selalu buat frasa Anda sendiri di perangkat.
  • Jalankan pemeriksaan keaslian dari produsen. Produsen dompet perangkat keras umumnya menyediakan cara untuk memverifikasi perangkat. Gunakan saat tiba, dan lagi jika Anda memiliki keraguan.
  • Waspadai perangkat keras yang aneh. Radio yang tidak terduga, komponen tambahan, atau perangkat yang berperilaku aneh, seperti memanas atau cepat menghabiskan daya, patut dicurigai.
  • Batasi apa yang dipertaruhkan pada satu perangkat. Menyebarkan kepemilikan di beberapa dompet mengurangi kerusakan dari satu kompromi.

Apa Artinya Bagi Anda

Jika Anda memiliki dompet perangkat keras, terutama yang dibeli melalui reseller pihak ketiga, periksa dari mana asalnya. Jika dijual oleh CryptoBilis, ikuti panduan resmi Ledger dan pertimbangkan memindahkan dana ke dompet yang baru dibuat dari perangkat yang terverifikasi. Jika Anda tidak yakin dengan asal perangkat Anda, langkah hati-hati yang sama juga berlaku.

Jika Anda tidak memiliki kripto, pelajarannya tetap berlaku. Perangkat apa pun yang kritis terhadap privasi, dari kunci keamanan hingga router, hanya dapat dipercaya sejauh rantai pasoknya. Membeli dari saluran resmi adalah salah satu perlindungan termurah dan paling efektif yang tersedia.

Poin Penting

Cerita chip spyware dompet Ledger masih berkembang, dan detailnya dapat disempurnakan seiring Ledger dan penyelidik berbagi lebih banyak. Yang sudah jelas adalah bahwa kepercayaan perangkat keras tidak dapat diasumsikan. Verifikasi integritas dompet perangkat keras atau perangkat kritis privasi apa pun yang Anda miliki, beli hanya dari produsen atau penjual resmi, dan anggap apa pun yang tiba dalam keadaan sudah dikonfigurasi sebagai mencurigakan. Kebiasaan-kebiasaan itu hanya membutuhkan beberapa menit dan dapat mencegah kerugian yang tidak dapat diperbaiki oleh perbaikan perangkat lunak apa pun.