Implan di Ledger memicu kekhawatiran atas rantai pasok dompet perangkat keras

Tim keamanan Donjon milik Ledger menemukan implan berbahaya di sebuah dompet perangkat keras yang dijual oleh reseller Asia Tenggara CryptoBilis. Implan tersebut dapat menangkap frasa pemulihan 24 kata perangkat saat penyiapan dan mengirimkannya melalui LTE menggunakan eSIM yang telah diprogram, sehingga dana di dompet berisiko. Ledger mengonfirmasi satu perangkat terdampak dan mengatakan bahwa kerugian yang sejauh ini terverifikasi melibatkan dompet yang dijual CryptoBilis. CryptoBilis telah berhenti menjual perangkat Ledger selama penyelidikan berlangsung. Investigator onchain Specter mengaitkan lebih dari US$86 juta dugaan pencurian di Bitcoin, Ethereum, dan Tron, tetapi Ledger mengatakan perkiraan kerugian yang beredar di internet belum terverifikasi. Ledger menyarankan pembeli agar tidak menyiapkan perangkat yang dicurigai dan mendesak siapa pun yang pernah menggunakannya untuk memindahkan dana ke perangkat baru dengan frasa pemulihan baru. Insiden dompet perangkat keras ini juga memicu kekhawatiran yang lebih luas tentang rantai pasokan. Peneliti keamanan Joe Grand memperingatkan bahwa manipulasi fisik yang canggih bisa sulit dideteksi. Trezor mengatakan pemeriksaan keaslian dan firmware bertanda tangan membantu, tetapi tidak dapat mengesampingkan modifikasi, dan berencana mengurangi jaringan reseller-nya. Para ahli menyarankan agar kepercayaan tidak hanya diberikan kepada satu penyedia serta desain yang lebih tahan terhadap upaya pengubahan ditingkatkan, sembari menegaskan bahwa tidak ada langkah yang menghilangkan seluruh risiko. Ledger mengatakan implan itu tidak mengubah Secure Element, sistem operasi, ataupun tanda tangan transaksi miliknya. Insiden ini menyoroti risiko keamanan dompet perangkat keras dan frasa pemulihan, tetapi tidak menunjukkan adanya masalah yang lebih luas pada jaringan Bitcoin.