Hardware Wallet

[joniboini]

Saya punya pemikiran seperti ini, setelah hacker berhasil menguras ColdCard, mereka menyisir produsen HW lainnya, karena HW lain itu ketat tidak seperti ColdCard pada akhirnya mereka berhasil mencuri data pelanggan ini juga berbarengan Trezor lalu ke Safepal.

Tapi dari timeline bukannya pencurian data konsumen dari produsen" HW ini kejadian jauh lebih awal daripada eksploitasi Coldcard? Kalau pemahaman ane ga salah, eksploitasi flaw di Coldcard ini juga ga membutuhkan usaha social engineering yang butuh data konsumen untuk mempermudah serangan tersebut. Tinggal mencari alamat wallet yang dibuat dengan entropi yang rendah.

[Chikito]

Pertama - Ledger paling banyak kebocoran data lebih dari 300,000.
Kedua - Trezor sudah 170,000 lebih kebocoran data dengan berita baru baru ini.
Ketiga - Safepal 40,000 data lebih.

Mereka memilih pihak ketiga sebagai penyimpanan data yang kurang kredibel.

Serangan phising ke email akan terus masih bahkan tidak akan berhenti, kalau mendapatkan surat palsu ini memang jarang terjadi hanya beberapa orang saja, misalkan peretas menyebarkan surat palsu ke email yang bocor biaya akan mahal dan mereka tidak akan sanggup melakukan nya.

Data di atas juga menunjukan kalau HW yang paling banyak bocor juga paling banyak dibeli oleh konsumen, di satu sisi juga sebagai marketing gratis, tapi di sisi lain, kerentanan kebocoran data oleh providernya harus dimitigasi jangan sampai berlanjut terus.

Hacker dalam hal ini tidak bisa langsung nge-hack HW jadi mereka akan coba cara lain yaitu phising email. Kalau pemula gak paham dan baru pertama kali pakai HW akan panik dan mengikuti petunjuk hacker untuk nulis 12/24 word mnemonic seed-nya.

Kalau biasanya kan kita sering dengar bank tidak pernah meminta PIN dan password user, jadi sebenarnya ini sama, pihak provider juga (kalau data bocor) tidak akan pernah minta 12/24 word mnemonic seed-nya, kalau pun ada itu fix 100% hacker/scam.

Ini pernah terjadi pada saya, karena ada yang pura-pura jadi CS. [1]

[1]. [Hati-hati] Orang Yang Berlagak Costumer Support Untuk Menguras Isi Dompet

[taufik123]

-snip-
Hacker dalam hal ini tidak bisa langsung nge-hack HW jadi mereka akan coba cara lain yaitu phising email. Kalau pemula gak paham dan baru pertama kali pakai HW akan panik dan mengikuti petunjuk hacker untuk nulis 12/24 word mnemonic seed-nya.
Kalau biasanya kan kita sering dengar bank tidak pernah meminta PIN dan password user, jadi sebenarnya ini sama, pihak provider juga (kalau data bocor) tidak akan pernah minta 12/24 word mnemonic seed-nya, kalau pun ada itu fix 100% hacker/scam.

Phising udah jadi metode jadul tapi masih sangat efektif untuk menjebak bagi mereka yang belum bener-benr paham bagaimana Phising bekerja.
Kadang mereka yang terlalu gaptek cuman klak-klik ini itu, liat email dapet giveaway malah di klik dan melakukan sambungan HW ke Aplikasi pihak ketiga yang tidak di kenal.

Seperti pada kasus Apliaksi Ledger Live palsu yang nyusup ke dalam Appstore Apple dan menyebabkan kerugian salah satu musisi dengan nama X G.Love yang kehilangan 5.9 BTC.
Gak perlu nyerang HW.nya, cukup nyerang penggunanya itu akan sangat efektif.

[🚨PERINGATAN🚨] Aplikasi Ledger Live Palsu ada di AppStore, Kerugian $9,5juta+

Ini pernah terjadi pada saya, karena ada yang pura-pura jadi CS. [1]
[1]. [Hati-hati] Orang Yang Berlagak Costumer Support Untuk Menguras Isi Dompet

Sering banget kalo metode seperti ini, Biasanya dari Aplikasi E-Wallet kayak DANA, SHOPEEPAY, GOPAY  dan ngaku-ngaku CS lainnya.
Yang apsti mereka minta Kode OTP untuk masuk ke prangkat kita dan menguras smeua saldo yang ada.

[salad daging]

Phising udah jadi metode jadul tapi masih sangat efektif untuk menjebak bagi mereka yang belum bener-benr paham bagaimana Phising bekerja.
Kadang mereka yang terlalu gaptek cuman klak-klik ini itu, liat email dapet giveaway malah di klik dan melakukan sambungan HW ke Aplikasi pihak ketiga yang tidak di kenal.

Upaya serangan phising memang jadul tapi masih banyak korban terjebak dengan sebaran link phising ini.

Baru baru ini tweet 11 jam yang lalu Trezor mengumumkan "Penyedia layanan email pihak ketiga kami telah diretas. Mohon diperhatikan bahwa email berjudul ‘Critical Security Alert: STM32 Entropy Vulnerability" Saya sendiri menerima email itu, untung nya domain phising sudah di takedown cepat oleh pihak Trezor sendiri.

Lihat bagaimana masif serangan ini kan? Setelah kebocoran data pengirim dari ShipMonk dan sekarang kebocoran email dari penyedia mana yang saya gak tahu.
Seperti nya trezor terus menjadi target serangan, kalau bisa mereka tidak usah lagi menggunakan pihak ketiga lagi lebih baik kelola sendiri agar dari segi keamanan bisa tetap terjaga.

Tampilan email phising yang di kirim oleh peretas.


X - https://x.com/Trezor/status/2097786518110609620
BTT - https://bitcointalk.org/index.php?topic=5593689.0

[taufik123]

-snip-

Aku juga baru tau serangan phising yang baru di publikasikan sama trezor ini, saya juga dapet email peringatan dari Trezor langsung soal Serangan phising gara-gara data bocor.
Sekarang ini harus lebih waspada lagi, jangan percaya pada siapapun termasuk Email atau akun official jika mereka minta Privatekey, seed phrade dll yang mengharuskan terhubung langsung ke wallet atau ke Hardware wallet.

Kalo udah terus-terusan ada metode phising atau metode peretasan lain seperti ini, Edukasi awal bagi yang awam itu perlu untuk menghibndari dari peretasan semacam ini.
dan kalo data udah bocor mending ganti email aja klo udah sering terima email phising dll.

[salad daging]

Aku juga baru tau serangan phising yang baru di publikasikan sama trezor ini, saya juga dapet email peringatan dari Trezor langsung soal Serangan phising gara-gara data bocor.
Sekarang ini harus lebih waspada lagi, jangan percaya pada siapapun termasuk Email atau akun official jika mereka minta Privatekey, seed phrade dll yang mengharuskan terhubung langsung ke wallet atau ke Hardware wallet.

Tidak hanya Trezor yang kena serangan ini, BitBox juga kena dampak serangan penyedia email pihak ketiga, BitBox bilang ada kemungkinan menggunakan newsletter yang sama dan beberapa perusahaan bitcoin lainnya.
Kalau begitu ini memang jelas pihak penyedia lah yang di serang bertubi tubi, data bocor tersebar di kirimi email phising dengan isi deksrip hampir sama kalau saya lihat di beberapa X yang membagikan nya.

Trezor dan BitBox melakukan pengumuman 11 jam yang lalu itu hampir sama kejadian nya.

- https://x.com/BitBoxSwiss/status/2097793026336981079
- https://x.com/blocktrainer/status/2097777779056201834
- https://x.com/coinjoined/status/2097776087329624562

dan kalo data udah bocor mending ganti email aja klo udah sering terima email phising dll.

Susah ganti email, karena sudah banyak di daftarin di bursa lokal/global, kasino dan banyak plaform lainnya.  

[taufik123]

Tidak hanya Trezor yang kena serangan ini, BitBox juga kena dampak serangan penyedia email pihak ketiga, BitBox bilang ada kemungkinan menggunakan newsletter yang sama dan beberapa perusahaan bitcoin lainnya.
Kalau begitu ini memang jelas pihak penyedia lah yang di serang bertubi tubi, data bocor tersebar di kirimi email phising dengan isi deksrip hampir sama kalau saya lihat di beberapa X yang membagikan nya..

Trezor dan BitBox melakukan pengumuman 11 jam yang lalu itu hampir sama kejadian nya.

- https://x.com/BitBoxSwiss/status/2097793026336981079
- https://x.com/blocktrainer/status/2097777779056201834
- https://x.com/coinjoined/status/2097776087329624562

Sekarang yang jadi sasaran bukan cuman pengguna, tetapi develoepr dan akun Official dari HW juga jadi sasaran untuk mempermudah segala macam rencana penipuan mereka ( scammer).
Ada banyak data yang bocor dan lebih memeprmudah untuk mengacak-acak semua akun pengguna, mengirim lebih banyak spam dan itu mungkin akan membuat salah satu dari pengguna melakukan klik tanpa sadar.

Phising sekarang itu makin canggih, beda dibandingkan dimasa lalu, belum ada AI dan belim ada metode yang cukup canggih efisien.
Ledger, Trezor, Safepal, BitBox, ColdCrad, semua jadi sasaran dan pengguna terancam, Tapi yang paling ngenes pengguna Coldcard, 

Susah ganti email, karena sudah banyak di daftarin di bursa lokal/global, kasino dan banyak plaform lainnya.  

Kalo saya sih mending ganti email semua, meskipun banyak yang udah didaftarin ke bursa lokal atau global,
Paling cuman butuh 1/2 menit untuk ganti email di setiap platform, daripada di teror terus sama spam phising dll.
Mending Migrasi ke email baru yang belum di ketahui dan pastinya aman dari Spam.

[Husna QA]

Kemarin saya juga sempat melihat notifikasi via email terkait kasus kebocoran data yang melibatkan pihak ketiga yang bekerjasama dengan Trezor ini.




Ketika sepintas melihat notifikasinya di smartphone, semula saya kira email phishing dari email palsu yang mengatasnamakan Trezor, jadi saya tidak terlalu menghiraukannya. Ternyata setelah dibuka itu berupa peringatan dari email resmi Trezor langsung. Saya coba buka aplikasi Trezor Suite di smartphone pun muncul notifikasi perihal peringatan serupa di atas.




Jadi, meskipun misalkan emailnya menggunakan email resmi dari Trezor sekalipun, namun jika isinya memiliki tanda-tanda sebagaimana yang dijelaskan pada email peringatan diatas sebaiknya diabaikan.
Jangan asal klik link, apalagi sampai terjebak di situs phishing yang meminta input seed phrase/private key.

[joniboini]

Ketika sepintas melihat notifikasinya di smartphone, semula saya kira email phishing dari email palsu yang mengatasnamakan Trezor, jadi saya tidak terlalu menghiraukannya.

Apakah ada alasan khusus kenapa om berpikir begitu? Sekilas emang mirip kayak email phishing sih kalau title yang dipake penuh dengan upaya untuk meningkatkan kecemasan user. Misalnya "Your funds is in danger", "Secure your Treor now", dst. Kalau title yang dipake Trezor kek gitu mungkin harus diperbaiki kedepannya. Di sisi lain ane juga pernah dapat email dari vendor/app lain yang sekilas kayak email resmi (plus bypass filter spam dari provider yang ane pake), tapi ujungnya nyuruh visit link untuk ganti password dan hal itu bikin ane curiga.

[Husna QA]

Ketika sepintas melihat notifikasinya di smartphone, semula saya kira email phishing dari email palsu yang mengatasnamakan Trezor, jadi saya tidak terlalu menghiraukannya.

Apakah ada alasan khusus kenapa om berpikir begitu? Sekilas emang mirip kayak email phishing sih kalau title yang dipake penuh dengan upaya untuk meningkatkan kecemasan user. Misalnya "Your funds is in danger", "Secure your Treor now", dst. Kalau title yang dipake Trezor kek gitu mungkin harus diperbaiki kedepannya. Di sisi lain ane juga pernah dapat email dari vendor/app lain yang sekilas kayak email resmi (plus bypass filter spam dari provider yang ane pake), tapi ujungnya nyuruh visit link untuk ganti password dan hal itu bikin ane curiga.

Ada dua Email yang berturut-turut masuk dan terlihat sepintas dari pengirimnya atas nama Trezor, salah satunya berisi informasi perihal 'Critical Security Alert ...' dan model subject seperti ini seringkali saya temui adalah email phishing, kemudian tidak berselang lama kemudian email kedua dari Trezor seperti yang isinya di share sebelumnya di atas.

Mungkin sedikit ralat, yang langsung saya abaikan adalah email pertama dengan hanya melihat subject-nya saja tanpa langsung melihat isinya, terlebih setelah mendapat email berikutnya dari Trezor perihal 'Unauthorized Email Warning'.

[salad daging]

Jadi, meskipun misalkan emailnya menggunakan email resmi dari Trezor sekalipun, namun jika isinya memiliki tanda-tanda sebagaimana yang dijelaskan pada email peringatan diatas sebaiknya diabaikan.
Jangan asal klik link, apalagi sampai terjebak di situs phishing yang meminta input seed phrase/private key.

Sekarang saya lebih baik mengabaikan email dari Trezor entah itu notifkasi promosi atau semacam apapun jangan di klik, saya pikir lebih masuk akal langsung saja pantau X nya di sana dan lihat dulu komen komen nya, misalkan sosial media X nya di hack maka jangan buru buru di klik kalau memberikan link, cukup pantau dulu sampai publik di X bereaksi.

347.000 pelanggan telah di kirimi email phising, 2500 pelanggan telah mengklik link - https://trezor.io/blog/news/security-incident-at-brevo-our-third-party-email-provider

[AakZaki]

Sekarang saya lebih baik mengabaikan email dari Trezor entah itu notifkasi promosi atau semacam apapun jangan di klik, saya pikir lebih masuk akal langsung saja pantau X nya di sana dan lihat dulu komen komen nya, misalkan sosial media X nya di hack maka jangan buru buru di klik kalau memberikan link, cukup pantau dulu sampai publik di X bereaksi.

Pada dasarnya memang tidak ada urgensinya untuk mengklik link apapun dari Trezor yang ada di email, toh kita sudah punya hardware wallet nya. kalo memang masih butuh untuk beli hardware wallet nya tinggal klik langsung web marketplace nya.

Sejauh ini yang bermasalah itu hackernya memang mengetahui banyak email, sehingga dia nge forward link phising ke email tersebut dengan bawa-bawa nama Trezor, ya nama besar Trezor tidak bisa dipungkiri lagi karena yang berhubungan dengan Trezor pasti ada aset BTC didalamnya, dan saya rasa hackernya memang mencoba peruntungannya dengan menyebarkan link phising tersebut.

Selain itu hackernya juga sudah ngeforward link phising ke pengguna yang tidak memiliki hardware walletnya seperti yang dikatakan oleh NotATether disini

[Husna QA]

—snip—
Selain itu hackernya juga sudah ngeforward link phising ke pengguna yang tidak memiliki hardware walletnya seperti yang dikatakan oleh NotATether disini

Semakin banyak data email yang didapat dan dikirimi link phishing, maka semakin besar juga peluang mendapatkan calon korban dari link phishing yang mereka sebar, termasuk dari user yang bahkan sama sekali tidak memiliki hardware wallet-nya (sebagiannya bisa saja mendaftarkan email hanya untuk berlangganan newsletter saja sekalipun belum memiliki HW, dll.).

Mereka juga tidak mungkin memeriksa dan memvalidasi satu persatu data pemilik email address tersebut apakah benar memiliki HW Trezor atau tidak, karena ini bukan tujuan utama pekerjaan mereka.

[joniboini]

Makin kesini jumlah database leak makin banyak aja, baik yang nargetin pengguna kripto dengan menyasar penjual hardware wallet atau yang lain, atau diluar kripto (termasuk jual beli data pekerja pemerintah). Di sisi lain hal ini menunjukkan kalau independensi user sangat penting buat mengamankan dananya sendiri karena intervensi dari pihak ketiga bakal terbatas. Ada yang ngusul intinya pihak Trezor dkk lebih proaktif buat melindungi user, tapi hal kayak gitu jelas bakal rawan disalahgunakan juga sama pihak yang berkepentingan. Uniknya sampe sekarang ane masih dapat email dengan teks yang sama dari berbagai scammer. Entah ini berarti dilakukan sama grup yang sama atau mereka dapetin data ane dari sumber yang sama.

[Husna QA]

—snip— Ada yang ngusul intinya pihak Trezor dkk lebih proaktif buat melindungi user, tapi hal kayak gitu jelas bakal rawan disalahgunakan juga sama pihak yang berkepentingan. Uniknya sampe sekarang ane masih dapat email dengan teks yang sama dari berbagai scammer. Entah ini berarti dilakukan sama grup yang sama atau mereka dapetin data ane dari sumber yang sama.

Atau mungkin data user yang pernah bocor tersebut bahkan sudah diperjual belikan di darkweb?
Saya sendiri belum buka-buka lagi darkweb semisal diatas. Dulu pernah dapat sejumlah data user Ledger yang pernah bocor juga, dan ketika di search ternyata email yang saya gunakan untuk registrasi disana memang tercantum di data tersebut.

Point-nya memang perlu proteksi dari usernya sendiri juga dan tidak terlalu mengandalkan perlindungan data dari Trezor atau semisalnya, karena kasus data leak ini bukan yang pertama kali terjadi.

[joniboini]

Point-nya memang perlu proteksi dari usernya sendiri juga dan tidak terlalu mengandalkan perlindungan data dari Trezor atau semisalnya, karena kasus data leak ini bukan yang pertama kali terjadi.

Betul om. Kalau mau beli hardware wallet setidaknya cari opsi untuk mengurangi berapa banyak data pribadi yang kita share. Apalagi data sensitif kayak kartu kredit dan CCV, alamat tempat tinggal, dst. Kalau ga salah dulu ada yang ngasih opsi pake PO box sebagai alamt delivery. Ane ga tahu apakah penjual hardware wallet di Indo punya support serupa. Apalagi kalau resellernya lebih sering pake olshop buat jualan.

[AakZaki]

Untuk yang punya Trezor yang mau update versi Trezor Suite terbarunya sudah tersedia v26.9.2
Jika dulu Bahasa Indonesia hanya sekedar terjemahan dari komunitas, kali ini Bahasa Indonesia sudah menjadi Bahasa resmi di Trezor Suite

Berikut detail pembaruan di Trezor Suite nya versi 26.9.2:

Code:

🚀New features
Sign & Verify has a revamped UI with dedicated copy buttons for message, address, and signature.
Exchange swaps now show a transaction simulation on the confirm page
Blockaid transaction simulation extended to Solana, Tron, and Stellar networks (previously EVM-only)
Chinese (Simplified) and Indonesian are now official languages in Suite, moved up from community translations
MEV protection is now enabled for Robinhood transactions
Suite now supports the root Solana derivation path (m/44'/501'), making it easier to migrate accounts from other wallets

🎨 Improvements
Add Account flow improved with a unified, searchable Network list
Optimized rendering for improved app performance
Search icon added to currency, country, and state search fields (for Buy / Sell / Swap)
WalletConnect has improved UI for account selection

🔧 Bug fixes
Transactions flagged as phishing are hidden from the Activity Center notifications
Excessive network requests fixed for wallets with a large number of Solana accounts
Cardano native tokens now show up in a transaction's Inputs/Outputs section, instead of only ADA
Minor bugs have been resolved, along with general usability enhancements for a more reliable and seamless experience

source: https://github.com/trezor/trezor-suite/releases/tag/v26.9.2

[salad daging]

Ledger ATOM akan segera rilis di tahun 2027 musim panas - Harga nya Rp. 17.548.700 setara €849.
Saat ini masih pre-order, harus deposit dulu 2juta sisanya nanti pada saat pengiriman.

Mungkin perilisan ini sudah di siapkan sebelumnya, sebelum kejadian ekspolitasi HW baru baru ini, sekarang mereka mengumumkan HW baru dengan spek yang megah, harga mahal, hampir setara beli Iphone 14/15.
Saya tidak tahu mengapa mereka melakukan ini begitu cepat di saat orang lain mengalami kerugian yang besar dengan belum ada kejelasan nya, walaupun yang di salahkan adalah dari pihak reseller sendiri, namun bagi saya dengan perilisan ini tampak ingin terus mencari keuntungan di saat kondisi yang tidak tepat.

Saya tidak akan beli atau minat sama sekali, masih ada cara untuk menyimpan aset dengan aman tanpa beli HW, harga mahal pun belum tentu ke depan 100% aman.

Spesifikasi Ledger ATOM


- https://shop.ledger.com/pages/ledger-atom
- https://x.com/Ledger/status/2110711966196969676
- https://www.ledger.com/ledger-atom-whitepaper? Whitepaper
- https://bitcointalk.org/index.php?topic=5596880.0 Diskusi thread global

[taufik123]

Mungkin perilisan ini sudah di siapkan sebelumnya, sebelum kejadian ekspolitasi HW baru baru ini, sekarang mereka mengumumkan HW baru dengan spek yang megah, harga mahal, hampir setara beli Iphone 14/15.
Saya tidak tahu mengapa mereka melakukan ini begitu cepat di saat orang lain mengalami kerugian yang besar dengan belum ada kejelasan nya, walaupun yang di salahkan adalah dari pihak reseller sendiri, namun bagi saya dengan perilisan ini tampak ingin terus mencari keuntungan di saat kondisi yang tidak tepat.

Perilisan HW baru dalam bentuk Smartphone ini sepertinya cuman ingin menutup kasus peretasan kmaren biar gak tambah rame.
Tapi meskipun begitu tetap jadi Trust Issue bahwa Ledger udah kebobolan meskipun bukan dari sistem Ledger, Tapi dari proses distribusinya sehingga HW Ledger bisa di pasang Implant mata-mata.

Saya tidak akan beli atau minat sama sekali, masih ada cara untuk menyimpan aset dengan aman tanpa beli HW, harga mahal pun belum tentu ke depan 100% aman.

Sekarang orang-orang bakal mikir untuk beli perangkat Ledger lagi, Karena kerugian pengguna juga cukup banyak.
Kalo Ledger mau cari keuntungan setelah kasus ini, Saya rasa HW baru ini gak bakal rame dan gak bakal habis terjual.

[AakZaki]

Sekarang orang-orang bakal mikir untuk beli perangkat Ledger lagi, Karena kerugian pengguna juga cukup banyak.
Kalo Ledger mau cari keuntungan setelah kasus ini, Saya rasa HW baru ini gak bakal rame dan gak bakal habis terjual.

Sulit membayangkan bagaimana Ledger bisa survive lagi di pasar , mengingat kejadian sebelumnya yang merugikan penggunanya hingga jutaan dollar.
Apalagi produk baru itu harganya yang tergolong mahal, orang-orang pasti berfikir dua kali untuk membeli nya.

Lagi-lagi user Trezor tertawa melihat muka tebalnya Ledger yang mencoba mempromosikan produk barunya itu.

Dengan harga €849, Saya rasa itu bisa dibelikan sekitar 3 Trezor Safe 7 yang sejauh ini masih aman-aman saja. Dari pada harus membeli HW yang pernah cacat, yang komponennya dapat di ubah oleh orang lain.