“Ini menunjukkan bahwa penyimpanan kripto merupakan risiko operasional, bukan sekadar risiko kriptografis. Keamanan di dunia nyata bergantung pada keseluruhan proses,” kata Esme Pau, kepala pasar modal dan kebijakan di perusahaan keamanan blockchain CertiK.
Juru bicara Ledger mengatakan bahwa perusahaan sedang melakukan penyelidikan yang mencakup kerja sama dengan penegak hukum setempat dan akan membagikan informasi lebih lanjut jika sudah tersedia. CryptoBilis tidak menanggapi permintaan komentar.
Para penyelidik di media sosial telah menyelidiki cara kerja implan tersebut. Menurut penjelasan mereka, perangkat rahasia tersebut menyadap kode sandi yang dikirim ke layar Ledger, kemudian mengirimkan kunci-kunci tersebut melalui koneksi seluler ke para peretas, yang kemudian dapat mengakses dana di perangkat lain.
Perangkat Ledger dilengkapi dengan chip perlindungan, namun serangan ini berhasil mengelabui piranti tersebut, menurut para ahli tersebut. Akibatnya, perangkat implan dapat menghindari pemeriksaan keamanan standar hingga terlambat.
“Melindungi diri dari satu jenis serangan tidak berarti menghilangkan ancaman lainnya,” kata Aneirin Flynn, CEO perusahaan teknologi keamanan siber FailSafe.
Ledger mewakili babak terbaru dalam krisis yang telah berlangsung berbulan-bulan terkait “kumpulan cold wallet,” yang menyimpan kunci pribadi dan tidak terhubung ke internet. Dompet ini dulunya dianggap tak dapat ditembus oleh penjahat, tetapi selama musim panas, sebuah kelemahan perangkat lunak pada perangkat serupa yang diproduksi oleh Coinkite Inc. mengungkap kerentanan serius.
Peretasan mengakibatkan pencurian Bitcoin senilai sekitar US$130 juta dan menimbulkan efek domino di seluruh industri. Tak lama setelah itu, perusahaan dompet dingin lain bernama Trezor mengalami kebocoran data melalui salah satu penyedia jasa pengirimannya, yang mengakibatkan terungkapnya informasi pribadi sekitar 67.000 pelanggan.
“Orang-orang membeli dompet perangkat hardware untuk mengurangi risiko pencurian daring, tetapi mereka tetap bergantung pada perangkat lunak, layanan, dan orang-orang yang terlibat dalam pengelolaan aset mereka,” kata Flynn.
Ancaman Baru
Insiden kebocoran data terbaru Ledger telah menimbulkan kekhawatiran baru. Ini bukan kelemahan software atau keamanan data, melainkan peretas yang dengan sengaja membobol perangkat fisik untuk mencuri dana. Bahkan setelah perusahaan merilis pembaruan pada hari Kamis, sejauh mana masalah ini masih belum diketahui.
Selama bertahun-tahun, perusahaan ini telah mengembangkan sejumlah perangkat dengan desain berbeda, termasuk model baru yang dijual seharga US$899. Versi lama, termasuk Nano X, terkadang berakhir di tangan pihak ketiga seperti CryptoBilis yang memperbarui dan menjualnya kembali.
Ben Yorke, yang bekerja di industri kripto dari Kuala Lumpur, mengatakan bahwa ia membeli Ledger Flex di toko Metapod di Bandara Changi, Singapura. Sebelum sempat mengkonfigurasinya, ia memperhatikan bahwa perangkat tersebut tampak seperti telah dirusak.
“Saya melihat sinyal yang samar namun mencurigakan di bagian samping, yang mengindikasikan bahwa seseorang mungkin telah mencoba membongkar bagian belakang perangkat,” kata Yorke.
Ia mengirimkannya kepada Mark Karpelès, seorang pendiri perusahaan kripto yang kini beralih menjadi peneliti dan memimpin Tibane Labs. Sebelumnya, ia memimpin Mt. Gox, sebuah bursa aset digital yang mengalami salah satu serangan peretasan paling menghancurkan di industri ini.
Karpelès bekerja dari Jepang, tempat ia dijatuhi hukuman percobaan pada tahun 2019 karena memanipulasi catatan keuangan terkait kebangkrutan Mt. Gox, dan dibebaskan dari tuduhan penggelapan.
Karpelès adalah salah satu orang pertama yang memposting di media sosial menawarkan bantuan kepada korban peretasan Ledger. Ia memeriksa perangkat Yorke dan mengidentifikasi sebuah konektor khusus yang terhubung ke layar, beserta chip seluler dan kartu SIM. Dalam sebuah wawancara, ia mengatakan bahwa teknologi tersebut lebih canggih daripada yang mungkin dibayangkan.
“Ini bukan sekadar orang biasa di garasi yang memasang perangkat implan pada Ledger,” kata Karpelès kepada Bloomberg. “Ini adalah skala yang biasa Anda lihat dalam film-film mata-mata.”
(bbn)
