Ledger mengonfirmasi bahwa setidaknya satu perangkat yang terkait laporan dompet kripto terkuras memiliki implan perangkat keras tak resmi. Kasus yang telah dikonfirmasi melibatkan perangkat yang dijual melalui penjual ulang Asia Tenggara, CryptoBilis. Namun, Ledger belum menjelaskan secara resmi cara kerja implan tersebut ataupun mengesahkan angka total kerugian yang beredar.
2
4
7
Apa yang sudah dikonfirmasi Ledger?
Laporan tentang dompet yang kehilangan dana muncul pada 9 Oktober 2026. Sehari kemudian, Ledger mengonfirmasi bahwa sebuah perangkat milik pengguna terdampak ditemukan memiliki implan. Dalam pembaruan 11 Oktober, perusahaan menyatakan bahwa semua kasus terkonfirmasi dalam insiden tersebut melibatkan perangkat yang dijual melalui CryptoBilis.
2
4
7
Ledger menyebut jumlah perangkat terdampak “terbatas”, tetapi tidak merilis jumlah pasti yang telah diverifikasi. Perusahaan juga menyatakan bahwa sistem dan kanal penjualan langsungnya tidak diretas. Pernyataan ini menjelaskan cakupan investigasi yang dilaporkan sejauh ini, tetapi tidak membuktikan bahwa semua dugaan pencurian berasal dari perangkat berimplan.
2
5
6
Ledger meminta CryptoBilis menghentikan sementara penjualan dan pengiriman perangkat selama investigasi berlangsung. Laporan juga menyebut penjual ulang itu menghentikan penjualan dompet perangkat kerasnya.
4
7
Angka kerugian masih berupa estimasi
Seiring penyelidikan berjalan, estimasi independen berbeda-beda. Laporan awal menyebut kerugian yang diduga mencapai lebih dari US$86 juta, sementara perkiraan berikutnya melampaui US$93 juta. Satu estimasi menyebut sekitar US$93,4 juta; estimasi lain menghitung US$92,9 juta dari 311 dompet. Ledger belum memvalidasi angka-angka tersebut.
7
11
13
Angka itu merujuk pada dompet dan dana yang dilacak, bukan jumlah perangkat fisik yang dipastikan telah diutak-atik. Karena itu, jumlah dompet dalam analisis transaksi blockchain tidak bisa langsung dianggap sebagai jumlah dompet perangkat keras yang terdampak.
13
14
Dugaan cara kerja implan
Mark Karpelès dilaporkan menemukan papan sirkuit tambahan di dalam perangkat Ledger yang diperoleh di Malaysia. Uraian tentang temuannya menyebut adanya mikrokontroler, perangkat LTE, dan e-SIM. Dugaan mekanismenya: papan tersebut dapat membaca frasa pemulihan yang tampil saat perangkat disiapkan, lalu mengirimkannya melalui jaringan seluler.
18
25
Namun, penjelasan teknis itu masih berupa laporan dan dugaan, bukan cara kerja yang dikonfirmasi resmi oleh Ledger. Ledger telah mengonfirmasi keberadaan implan tak resmi pada satu perangkat yang diperiksa, tetapi informasi yang tersedia belum memastikan secara tepat bagaimana perangkat itu beroperasi atau membuktikan bahwa implan menjadi penyebab setiap kerugian yang dilaporkan.
2
9
Langkah pencegahan bagi pembeli CryptoBilis
Untuk perangkat CryptoBilis yang dibeli dalam 90 hari terakhir, panduan yang dilaporkan adalah:
17
20
- Belum disiapkan: Jangan mulai menyiapkan perangkat selama investigasi berlangsung.
- Sudah disiapkan: Pertimbangkan memindahkan aset ke perangkat penandatangan baru yang diatur dengan frasa pemulihan baru. Memulihkan frasa lama yang mungkin telah terekspos ke perangkat pengganti tidak mengatasi risiko jika frasa tersebut memang sudah diketahui pihak lain.
17
26
Batas 90 hari itu merupakan langkah berjaga-jaga, bukan bukti bahwa perangkat yang dibeli lebih awal pasti aman. Laporan bahwa banyak dompet yang dilacak pertama kali menerima dana pada Juni atau setelahnya juga tidak dengan sendirinya menunjukkan kapan perangkat dibeli ataupun apakah perangkat itu telah dimodifikasi.
Pertanyaan yang masih terbuka
Bukti publik yang dirujuk sejauh ini belum menetapkan berapa banyak perangkat fisik yang terdampak, apakah setiap dugaan kerugian melibatkan implan, ataupun bagaimana cara kerja implan tersebut secara pasti. Angka kerugian yang beredar tetap merupakan estimasi independen, bukan total akhir yang diverifikasi Ledger.
2
7
13