Hardware Wallet

[Husna QA]

Beberapa wallet juga bisa terkoneksi ke HP lewat kabel, misalnya Nano S. -snip-

Sumber: https://support.ledger.com/hc/en-us/articles/360021488913-Connect-Ledger-Nano-S-or-Ledger-Blue
Untuk Nano X pun (selain menggunakan bluetooth) tadi saya mencoba koneksinya menggunakan kabel (OTG) ke smartphone. Tentunya ini bisa berguna untuk digunakan dengan smartphone ketika masa pakai baterai HWnya sudah mendekati kadaluarsa (sekitar 5 tahun).

[joniboini]

Tentunya ini bisa berguna untuk digunakan dengan smartphone ketika masa pakai baterai HWnya sudah mendekati kadaluarsa (sekitar 5 tahun).

Kalau dikoneksikan lewat kabel saat baterai penuh, itu baterainya tetap di-charge atau engga ya om? Soalnya kalau tetap di-charge bisa ada kemungkinan malah memperpendek masa baterai bukannya?

[Husna QA]

Kalau saya lihat di gambar layarnya saat proses charge masih berlangsung dibandingkan dengan saat baterai sudah hampir penuh (99% lebih) sampai dengan full 100%, itu ada perubahan gambar pada ikon power source-nya, seperti nampak pada gambar berikut:







Asumsi saya jika ikonnya sudah berubah seperti itu (menjadi gambar colokan/steker listrik) menandakan sumber daya yang digunakan HW Nano X diubah dari baterai ke sumber listrik dari power adapter lain.

[joniboini]

Kalau baca-baca dari internet sih emang perangkat yang make baterai li-ion biasanya udah ada overcharge protection unitnya, cuma di Ledger emang ga dijelaskan secara eksplisit (atau ane yang ga nemu). Mungkin biar aman kalau emang baterainya masih sehat lebih baik konek pake bluetooth daripada USB ya?

[Chikito]

Saya dapat email dari ledger semalam.

Mengatakan bahwa data base ecommerce dan pemasaran mereka bocor oleh pihak ketiga sehingga data email, nama, nomor telepon, alamat lengkap pelanggan dan produk dibeli diketahui oleh mereka. tidak dijelaskan siapa pihak ketiga ini, tapi pihak ledger telah melaporkan prihal ini ke pihak berwenang prancis untuk ditindak lanjuti.

Untuk sekedar diketahui, pembayaran, dana crypto, sandi, password dan hal yang berbau dompet ledger tetap aman karena tidak terhubung langsung ke perangkat HW yang kita beli. Hacker hanya mengakses data base pembelian saja.

Sebagai antisipasi hal ini karena email, alamat dan nama lengkap diketahui oleh hacker, harap berhati-hati jika ada email yang meminta password atau 24 kata seed mengatasnamakan ledger karena sudah pasti itu penipuan atau phishing.

Our ecommerce and marketing database leaked, we immediately fixed the breach. Contact and order details were involved. Your funds are safe.

 


What happened?


On the 14th of July 2020, a computer researcher that participated in our bug bounty program notified us of a potential data breach on the Ledger website. We immediately fixed the breach after receiving the researcher’s report and undertook an internal and external investigation of the situation. While conducting the investigation, we discovered an unauthorized third party had gained access to customer information.   

 


What personal information was involved?


Contact and order details were involved. This is mostly the email address of our customers. Further to investigating the situation we have also been able to establish that, for a subset of customers were also exposed: first and last name, postal address, phone number and ordered products. Due to the scope of this breach and our commitment to our customers, we have decided to inform all of our customers about this situation.


Payment information, credentials (passwords) or crypto funds are not impacted by this data breach. This data breach has no link nor impact on our hardware wallets and the Ledger Live application. Your crypto assets are safe and are not in peril.

 


What we have done, what we are doing


We have taken immediate action on 14th of July 2020, to resolve the data breach.


On the 17th of July, we notified the CNIL -- the French Data Protection Authority -- about this data breach and are continuing to work with authorities throughout the legal process.


We are continuously monitoring for evidence of our customers’ contact details being disclosed on the internet, and have found none thus far. We also performed an internal penetration test.


We are currently in the process of filing a complaint before the French public prosecutor regarding the unauthorized access and we will support law enforcement investigation.


We are extremely regretful for this incident. We take privacy very seriously, and we sincerely apologize for the inconvenience this matter may cause you.

 


What you can do


We recommend you exercise caution -- always be mindful of phishing attempts by malicious scammers.


As a reminder, Ledger will never ask you for the 24 words of your recovery phrase. If you receive an email that looks like it came from Ledger asking for your 24 words, you should definitely consider it a phishing attempt.


We suggest you visit Ledger Academy security section to educate yourself on general security principles and more precisely our article about phishing attacks.

Pascal Gauthier, Ledger CEO

For more information


Our blogpost about the data breach, and the FAQ to answer all your questions. For any additional information, you can directly contact our customer support.


To discover our Privacy Policy and understand what we do with your data, please click here.


If you have any questions, or want to exercise any of your rights granted by Applicable Laws and detailed in our Privacy Policy, please contact our data protection officer at privacy@ledger.fr.

   

This is a security notice. You received this email because you signed up at Ledger.com and/or purchased a Ledger product. We respect your right to privacy. To learn more about how Ledger processes personal data, please read our Privacy Policy and Cookie Policy :copyright: Ledger SAS 2020. All rights reserved. Ledger brands are registered trademarks of Ledger SAS. Ledger SAS, 1 rue du Mail, 75002 Paris.

[abhiseshakana]

Untuk sekedar diketahui, pembayaran, dana crypto, sandi, password dan hal yang berbau dompet ledger tetap aman karena tidak terhubung langsung ke perangkat HW yang kita beli. Hacker hanya mengakses data base pembelian saja.

Meskipun pencurian data yang terjadi hanya di bagian e-commerce and marketing database, tetapi tetap saja hal ini bisa dianggap sebuah tamparan kepada Pihak ledger karena bisa kecolongan pencurian data melalui API key. Bisa dibayangkan seandainya saja pelaku hacker sanggup menjebol bagian database firmware dan mengganti firmware terbaru dengan sebuah firmware yang sudah di modifikasi dengan Malicious code, maka impactnya akan terasa langsung kepada pemilik HW Ledger.

Sebagai antisipasi hal ini karena email, alamat dan nama lengkap diketahui oleh hacker, harap berhati-hati jika ada email yang meminta password atau 24 kata seed mengatasnamakan ledger karena sudah pasti itu penipuan atau phishing.

Mungkin dengan terjadinya pencurian data tersebut, upaya-upaya phishing attack kepada konsumen ledger melalui email akan semakin intens, dan bisa saja buat pengguna ledger yang kurang waspada atau tidak mengetahui perkembangan yang sedang terjadi akan menjadi korban phishing attack tersebut. (semoga saja pengguna ledger banyak yang mengetahui berita ini, sehingga bisa menjadi lebih waspada)

[Husna QA]

-snip- Mungkin biar aman kalau emang baterainya masih sehat lebih baik konek pake bluetooth daripada USB ya?

Untuk koneksi ke smartphone memang lebih baik memanfaatkan fitur bluetooth dari Nano X nya selagi baterainya masih memungkinkan digunakan, selain memang lebih praktis juga. Kecuali untuk ke pc/laptop mau tidak mau mesti menggunakan kabel, karena setahu saya fitur bluetoothnya tidak bisa digunakan ke bluetooth-nya laptop.

Saya dapat email dari ledger semalam.

Mengatakan bahwa data base ecommerce dan pemasaran mereka bocor oleh pihak ketiga sehingga data email, nama, nomor telepon, alamat lengkap pelanggan dan produk dibeli diketahui oleh mereka.

Sama, saya juga mendapatkan email (Security Notice) serupa dari Ledger tanggal 29 Jul 2020 lalu.
Sekelas Ledger masih bisa kebobolan pencurian database ecommerce dan marketing-nya. Bagaimanapun juga, seharusnya memang mesti segera diinfokan agar konsumennya aware akan hal ini.
Bagi pelanggan Ledger atau HW lainnya mungkin bisa mempelajari lagi edukasi perihal serangan phising, semisal di Ledger Academy security.

[joniboini]

Kecuali untuk ke pc/laptop mau tidak mau mesti menggunakan kabel, karena setahu saya fitur bluetoothnya tidak bisa digunakan ke bluetooth-nya laptop.

Lah iya? Wah saya kira bisa konek ke PC juga via BT. Ane browsing" singkat ternyata udah dari tahun lalu masih belum bisa juga ya https://www.reddit.com/r/ledgerwallet/comments/btk6ll/does_ledger_nano_x_not_work_with_bluetooth_on/.

[Husna QA]

Bahkan ketika saya mencoba untuk pairing di macbook (menggunakan bluetooth), nama device Ledger Nano X nya pun tidak terdeteksi.
Namun saya pernah mencoba menghubungkan Nano X ke laptop (menggunakan kabel) sekaligus menghubungkannya juga ke smartphone (menggunakan bluetooth), keduanya berfungsi tanpa harus men-disconnect salah satunya.

[joniboini]

Agak disayangkan karena dari web Ledger sendiri ane rasa hal di atas kurang eksplisit. Ya memang sih usernya masih bisa make kabel kalau ke PC, tapi kalau beli karena berharap bisa pake BT di PC ya jadinya kecewa, seperti thread" yang ada di Reddit itu. Kebanyakan orang ane rasa ga kepikiran juga kalau harus mastiin ulang bisa make BT di komputer apa engga kalau belum punya pengalaman yang sama sebelumnya.

[Husna QA]

Mungkin pihak ledger punya pertimbangan tersendiri kenapa koneksi bluetooth ledger nano x tidak bisa digunakan di Laptop/PC yang ada bluetooth-nya, sebagaimana sebaliknya ketika ada update firmware kemarin-kemarin ini yang hanya bisa melalui Ledger Live di PC (tidak bisa melalui versi smartphone).
Dari tampilan antara Ledger Live versi PC dengan versi smartphone ketara pilihan koneksi yang disediakan dimasing-masing tab Manager nya:

 

[joniboini]

Mungkin pihak ledger punya pertimbangan tersendiri kenapa koneksi bluetooth ledger nano x tidak bisa digunakan di Laptop/PC yang ada bluetooth-nya

Tapi dari yang ane baca-baca di berbagai thread, ada kesan Ledger bakal memperbarui hal tersebut dan membuka support untuk Nano X di PC. Mungkin saja update firmware tetap harus pake kabel biar ga ada risiko disconnect dan harus pair ulang di tengah ngupdate MCU.

[Husna QA]

Beberapa hari lalu Ledger merilis update firmware terbaru untuk Ledger Nano S dan Ledger Nano X. Dan seperti pada update sebelumnya, nampaknya untuk update ini kali juga secara bertahap (tidak semua user sekaligus mendapatkan notifikasi update firmware ini).

Ledger Nano S: Versi firmware 1.6.1

The Ledger Nano S firmware update to version 1.6.1 is a somewhat smaller one, mostly focused on additions for exciting upcoming features. For example, the BLS12-381 G1 cryptographic curve has been added.

Ledger Nano X: Versi firmware 1.2.4-4

Some further additions include:
- Added mandatory regulatory information in the device’s settings menu
- Added cryptographic support for the Stark 256 curve. This will allow the support of Starkware applications.
- Added cryptographic support for the BLS12-381 curve

Saya pribadi sudah mendapatkan notifikasi update ini:

[joniboini]

Update terbaru ini nampaknya dipersiapkan untuk mengikuti update ETH2.0. Btw kemaren saya lihat ada yang ada kendala stuck updatenya, mungkin bagi yang mau update ditunggu dulu aja review"nya barangkali updatenya emang ada masalah dan nanti ada update baru lagi.

[arjunmujay]

thread yang bagus gan saya suka. tapi kalau saya sih lebih suka pakai soft wallet saja karena tidak bermain dengan skala besar dan lagi saya orangnya pelupa takutnya lupa hard waletnya ditaruh dimana ya hilanglah sudah semua dana. tapi kalau disuruh milih sih ane jelas pilih yang simpel tapi bisa menampung banyak koin dan yang pasti sistem keamanan sudah mempuni karena isinya cuan.

[Husna QA]

-snip- tapi kalau saya sih lebih suka pakai soft wallet saja karena tidak bermain dengan skala besar dan lagi saya orangnya pelupa takutnya lupa hard waletnya ditaruh dimana ya hilanglah sudah semua dana. -snip-

Untuk menjaga kejadian seperti itu maka hal pertama yang mesti agan perhatikan adalah menyimpan recovery phrase pada tempat aman yang sekiranya agan 'tidak lupa' atau orang kepercayaan agan mudah mengaksesnya. Jadi sekiranya hardware wallet tersebut hilang (semisal lupa dimana menyimpanya), agan masih bisa me-recovery-nya ke hardware wallet yang lain dengan menggunakan recovery phrase tadi.

[joniboini]

tapi kalau disuruh milih sih ane jelas pilih yang simpel tapi bisa menampung banyak koin dan yang pasti sistem keamanan sudah mempuni karena isinya cuan.

Pilihan yang sempurna kayak gitu hampir ga ada gan. Agan make soft wallet atau apapun itu juga ada risikonya, jadi sesuaikan aja sama kebutuhan agan. Meskipun begitu, kalaupun agan pelupa, masa iya barang kayak HW wallet yang agan tahu isinya duit berharga bakal digelontorkan begitu saja, ane rasa sih kcil kemungkinannya. Kalaupun toh kejadian, seperti yang disebutin di atas, masih bisa direcover.

Yang penting jangan terlalu percaya sama salah satu teknologi saja, kalau ada pilihanya yang lebih baik walau agan belum familiar tidak ada salahnya di coba.

Btw tentang masalah update yang stuck di atas, ane baca ada yang katanya disebabkan karena server update yang lagi overload. Entah ini bener atau engga sih, mungkin yang mau update bisa nunggu dulu aja sampai kira-kira udah banyak yang posting tentang hasil updatenya kalau takut dengan risiko.

[Husna QA]

Untuk Nano S, berikut ini sudah ada salah satu member yang mereview update-nya:

Wow, right now I have updated my nano S to 1.6.1.  All procedure was not time consuming, it took me maximum 2-3 minutes to update. What  I like  there was no such things like "pull out USB' to proceed as it was before, now everything is straightforward, as they say - put in and forget about it.  All display graphics remained untouched as well as the point  size. Version of bootloader 0.11. Nothing to explore more.

Saya baru 'ngeh' kalau kasus stuck update-nya gara-gara server update yang overload. Mungkin ini juga yang menjadi salah satu pertimbangan lain dari pihak ledger dengan tidak mengirim notifikasi update firmware Nano ke semua user-nya sekaligus.
--Update--
Untuk Nano X, barusan saya coba update firmwarenya, dan sebagaimana pada update sebelumnya hanya membutuhkan beberapa menit saja dalam prosesnya.
Untuk tampilan di device, urutan ikon dari aplikasi yang terinstall balik lagi seperti sebelum update versi 1.2.4-2.
Beberapa perbaikan pada versi ini tertera seperti pada screenshot:

[joniboini]

Saya sendiri juga baru denger kemarin tentang kasus server overload itu. Ane kira kalau update itu semua filenya didownload dulu baru kemudian diupdate secara offline, tapi dari kasusnya sepertinya ga sesederhana itu. Dan masih jadi pertanyaan juga sih apa bener request ke servernya sebanyak itu sampai jadi overload, atau memang koneksi usernya sendiri.

But anyway, dengan update terbaru ini nampaknya ane makin ga perlu beli main HW baru karena dengan space kecil di Nano S sepertinya masih cukup untuk kebutuhan ane walau ada update fitur.

[Chikito]

Harus hati-hati yang pakai ledger, baru-baru ini ada yang kena hack hilang 100k erc20 token di walletnya tersebut.

https://twitter.com/StackingUSD/status/1294254623591739392

kalau baca komentar, dia mereset ledger walletnya beberapa hari sebelumnya,

https://twitter.com/StackingUSD/status/1294259676994052097

kalau ditengok twitternya lagi, dia meretweet hal ini https://twitter.com/Ledger_Support/status/1290268863477821440
tampaknya memang benar dia kena phishing ledger palsu dan mengetik mnemonic seed di sana.

Pelajaran yang bisa diambil di sini adalah selalu gunakan/download aplikasi dari official ledger jangan sembarangan download, verified dulu sebelum digunakan.