NEWS! Pengguna Legder di laporkan kehilangan $86 juta di curi di Hardwallet.

[TedMosby]

[...]
Ada rumor yang mengatakan bahwa ledger palsu telah beredar luas karena di jual oleh reseller dari asia tenggara "CryptoBillis" mungkin kah ini HW daur ulang? Hasil penyelelidikan tim Ledger belum tuntas sepenuhnnya karena berita baru di terbitkan beberapa jam yang lalu.

Ada kah yang membeli hardwallet di reseller ini? https://id.cryptobilis.com/

[...]

Bagaimana pun ini salahnya Ledger juga, yang tidak mengantisipasi supply chain dan produknya diacak2. Dari post2nya Ledger, kayak menitikberatkan kasus ini pada CryptoBilis saja. Siap punya reseller ya siap untuk terlibat penuh dalam memastikan semua produk yg didistribusikan oleh resellernya memang asli, tidak bermasalah, dll, entah apapun itu mekanisme yg dibuat untuk memungkinkan itu bisa dilakukan.

Saya sendiri pernah punya Ledger Nano X. Saya dikirimin sama Ledger gratis untuk direview saat awal2 Nano X keluar. Saya gak tau apakah produk sekarang yg dibeli lewat Ledger itu terbungkus plastik dan tersegel di dalamnya juga atau nggak. Yg jelas, dulu saya menerima produknya dalam box, tanpa pelindung/cover plastik lagi, dan segel yg kalopun saya copot, tidak akan ketahuan itu sudah pernah saya copot.

Nah, di sisi lainnya, barang itu juga sempat masuk bea cukai. Dan memang dibuka boxnya. Ini saya tahu karena teman saya yg kerja di bea cuka bilang paketnya masih dicek. Entah sekarang prosesnya masih seperti itu atau nggak. Saya dapat SafePal S1 juga dulu gitu kondisinya.

Kalo kasusnya kayak gini gimana?

[...]
Saya tidak pernah om, tapi teman saya pernah beli HW Ledger di sana, saya langsung hubungi beliau tadi, katanya tidak terjadi apa-apa dengan asetnya, masih utuh. Sepertinya drain hanya terjadi di HW yang didistribusikan tahun lalu sampai tahun sekarang.
[...]
Di Indonesia hanya ada 4 reseller resmi Ledger, salah satunya Cryptobilis. Jadi, apakah kalian masih bisa percaya beli dari reseller daripada ke Ledger-nya langsung?

Karena sudah ada kasus seperti ini, kalo saya sendiri akan memposisikan diri sebagai orang yg "terjangkit" juga (Apa sih bahasanya? ). Saya akan pindahin asset dulu dan stop pakai Ledger sementara sampai investigasi benar2 rampung, dan pihak Legder bisa ngasi klarifikasi yg benar2 pasti dan bisa dipertanggungjawabkan. Terlalu banyak noise saat ini, banyak spekulasi ini itu, mending main aman dulu, biar kesehatan mental terjaga.

Karena kasus ini juga, jangankan beli di reseller, beli langsung dari Ledgernya jg akan mikir2. Soalnya gmn klo selama ini mitra2 yg terlibat di supply chainnya Ledger nakal? Contoh pihak yg terlibat dalam manufaktur dan perakitan. Sebagai referensi, Ledger Stax itu diproduksi di Vietnam.

Ledger Stax, once ready, will be manufactured and assembled in Vietnam, and then shipped to Ledger customers from our secure distribution facilities in Vierzon, France, and Tennessee.

[...]
Lalu siapa yang akan bertanggung jawab?
Apakah akan berlindung dengan kata-kata "Not Your Key Not Your Coin"
[...]

CEX kena hack ada peluang dana tetap aman, karena asuransi, cadangan dana yg cukup, hingga bantuan dana antar sesama CEX. Tapi decentralized wallet kena hack, peluang itu hampir nol .

[taufik123]

Di translate oleh Grok


Lihat dengan kasus ini, dengan apa yang dia jelaskan tidak ada yang salah, semua prosedur menulis dan menyimpan seed phrase cukup aman, tidak ada seorang pun mengakses ponsel nya yang berarti siapa yang salah? Atau mungkin Iphone nya di susupi? Ini sudah jelas banyak kejadian di HW maupun di hotwallet, apakah mungkin dari kita melakukan diversifikasi dompet? Sehingga tidak perlu menyimpan aset di satu dompet melainkan di banyak dompet dengan seed phrase yang berbeda, merek berbeda?

Dia cuman pakek Versi APP Safepal saja, gak pakek HW Safepal, Jadi yang kenan Phising or malware Perangkat Iphone dia atau mungkin kenak Jebman Daaps Palsu.
Untuk HW safepal masih belum ada laporan kebobolan, Tapi sekarang emang perlu waspada dan Sedikit skeptis dengan semua HW sekarang.


https://x.com/pintiboy/status/2109191618070815064

Bagaimana pun ini salahnya Ledger juga, yang tidak mengantisipasi supply chain dan produknya diacak2. Dari post2nya Ledger, kayak menitikberatkan kasus ini pada CryptoBilis saja. Siap punya reseller ya siap untuk terlibat penuh dalam memastikan semua produk yg didistribusikan oleh resellernya memang asli, tidak bermasalah, dll, entah apapun itu mekanisme yg dibuat untuk memungkinkan itu bisa dilakukan.

Ya harusnya emang gitu, perlu melakukan Verifikasi atau Audit untuk setiap Reseller resmi, Kalopun mereka di akuisisi perlu approved juga dari Ledger.
Jadi bisa lebih terkontrol kemana HW Ledger akan di distrinusikan, Nah kalo kejadian gini, di akuisisi orang asing yang bahkan jadi scammer, semua HW di kasih Implant mata-mata.

Nah, di sisi lainnya, barang itu juga sempat masuk bea cukai. Dan memang dibuka boxnya. Ini saya tahu karena teman saya yg kerja di bea cuka bilang paketnya masih dicek. Entah sekarang prosesnya masih seperti itu atau nggak. Saya dapat SafePal S1 juga dulu gitu kondisinya.

Kalo kasusnya kayak gini gimana?

Dulu saya juga beli Safepal langsung dari Safepal Official dan memang akan dibuka di beacukai, barang apapun wajib lewat Pemeriksaan Fisik dan semacamnya.
Saat ini bahkan lebih ketat dan Biaya Bea masuk akan di tetapkan dengan harga umum yang ada di marketplace.

CEX kena hack ada peluang dana tetap aman, karena asuransi, cadangan dana yg cukup, hingga bantuan dana antar sesama CEX. Tapi decentralized wallet kena hack, peluang itu hampir nol .

Karena kalo CEX masih ada penghasilan dari Fee pengguna setiap trading, WD, dan transaksi lain.
Sedangkan Ledger cuman dari Staking dan Mitra Penyedia layanan.
Kalo sudah kejadian kebobolan kayak gini gak ada yang mau ganti fuull uang pengguna kayak CEX, ya seperti Kejadian Coldcard.

[salad daging]

NEW Report: Di kabarkan reseller Ledger untuk wilayah Eropa [MediaMarkt HW nya sudah di kompromikan dengan implant palsu di dalam nya, MediaMarkt juga telah menarik barang tersebut dari Toko atau online, ini setelah ada laporan dari Johanes membeli Ledger terus membongkar, di dalam nya terdapat yang mencurigakan. - https://x.com/0xJohannes_/status/2109634513957527974

- https://ct.com/news/mediamarkt-pulls-ledger-wallet-security-incident
- https://x.com/Ledger/status/2109984923343782374
Kasus ini sekarang semakin meluas, saya pikir hanya terjadi di Asia Tenggara saja dengan yang salah dari Cryptobilis itu sendiri, kalau ada kejadian di Eropa berarti siapa yang produksi barang ini? Apakah produsen Ledger sendiri yang melakukan nya?

Dia cuman pakek Versi APP Safepal saja, gak pakek HW Safepal, Jadi yang kenan Phising or malware Perangkat Iphone dia atau mungkin kenak Jebman Daaps Palsu.

Hanya orang itu saja yang melaporkan kejadian ini, berarti mereka sendiri yang salah namun hanya saja tidak menyadari nya.

Untuk HW safepal masih belum ada laporan kebobolan, Tapi sekarang emang perlu waspada dan Sedikit skeptis dengan semua HW sekarang.

Buat Safepal atau Trezor yang belum pernah kejadian, saya harap mereka lebih hati hati lagi soal produksi HW apalagi melibatkan pihak ketiga, yang saya tahu produksi Ledger itu ada dua di Prancis sama di Vietnam.
Ini kemungkinan ada reseller nakal, bisa jadi orang dalam yang terlibat kasus ini, nah untuk Safepal dan Trezor harus audit lagi reseller official nya.

[Chikito]

Kasus ini sekarang semakin meluas, saya pikir hanya terjadi di Asia Tenggara saja dengan yang salah dari Cryptobilis itu sendiri, kalau ada kejadian di Eropa berarti siapa yang produksi barang ini? Apakah produsen Ledger sendiri yang melakukan nya?

Kalau perusahaan sendiri atau ledger-nya gak mungkin bro, mereka bereputasi di sini, dan ada owner-nya btchip, mungkin bisa tanya-tanya langsung.

Soalnya kasus beginian kan sudah terblow-up kalau reseller, atau distributornya sendiri yang memodifikasi kayak cryptobilis, dan yang terbaru MediaMarkt. Memang, kelemahan dari HW jika distributor nakal memodifikasi ledger asli dan ditambah implan untuk memata-matai user. Saya dulu aware banget soal ini, sehingga sebelum create seed dan wallet saya akan ngecek dulu segel di perangkat dan reset to factory dulu.

Tapi tetap saja kalau memodifikasinya canggih, sangat sulit untuk terdeteksi, apa lagi kalau dicek di website ledger HW tersebut original, dan dikotak masih tersegel rapi.

Saya dulu pernah beli sama yabes : https://bitcointalk.org/index.php?topic=5260972.msg54758481#msg54758481
Tapi karena dianya bermasalah, load defaulted: https://bitcointalk.org/index.php?topic=5458067.0
maka ledger yang saya beli sama dia untuk saya pakai untuk simpan btc saya kirim ke lain wallet, takutnya sudah dimodif sama dia.

[mu_enrico]

Ane pernah menyinggung ini ketika bikin thread air-gapped wallet di 2018

3. Pada kasus tertentu, metode ini lebih aman dari dompet hardware. Misalnya (a) kasus pemalsuan dompet hardware; (b) serangan "man in the middle" ketika membeli dompet hardware, dapat berupa penanaman malware oleh pihak-pihak di beberapa "touch point" seperti lapak penjual dan jasa ekspedisi.

Salah satu alasan ane juga takut pakai hardware wallet karena mana tau itu paketnya sudah "dikerjain" sebelum dikirim ke agan.

---

Anyway sedikit OOT, begini sekarang ane kalau bikin alamat baru:
- Ambil standalone generatornya ian coleman
- Cek hash
- Lempar ke AI audit security dan metode randomness
- Bikin mnemonic 24 kata + passphrase di device yang offline dan browser profile baru
- Catat dan amankan mnemonic dan passphrase (plus beberapa address kalau mau saving saja tidak kirim-kirim), hapus browser profile
- Import di elektrum atau software lain yang bisa air gapped (opsional)

[liuka]

Setelah kejadian pengguna Legder kena Hack dan Beberapa Hw lainnya kini muncul inovasi Baru untuk mencapai titik aman atau Hw yang kita beli tidak di acak acak atau di modifikasi.

5 jam Yang lalu Ceo atau Tim dari OneKeyHQ meluncurkan Situs Untuk Mengecek dompet kita udah di modif atau belum
Ini webnya https://tampered.app/id



Saya kira ini sangatlah membantu bagi holder btc untuk mengecek Hw mereka palsu atau tidak alias tidak dimodif.

https://x.com/ohyishi/status/2110383505628893327

Selain itu OneKeyHQ hari ini juga meluncurkan dompet transparan mereka

OneKey Classic 1S Pure / BTC-Only
Transparan. Tanpa baterai. Hanya Bitcoin.
Intip ke dalam tanpa perlu membongkarnya, sehingga manipulasi tak punya tempat bersembunyi.

https://x.com/OneKeyHQ/status/2110327197479436653

[Chikito]

Anyway sedikit OOT, begini sekarang ane kalau bikin alamat baru:
- Ambil standalone generatornya ian coleman
- Cek hash
- Lempar ke AI audit security dan metode randomness
- Bikin mnemonic 24 kata + passphrase di device yang offline dan browser profile baru
- Catat dan amankan mnemonic dan passphrase (plus beberapa address kalau mau saving saja tidak kirim-kirim), hapus browser profile
- Import di elektrum atau software lain yang bisa air gapped (opsional)

Ya kalau untuk BIP39 seed cocok pakai iancoleman tool offline. Namun harus hati2, banyak phising iancoleman saat ini, githubnya ada di sini untuk download original: https://github.com/iancoleman/bip39

btw kalau saya mending langsung ke electrum om, ya walau cuma 12 seed tapi kalau pakai passphrase tambahan bisa nama entropy-nya.

5 jam Yang lalu Ceo atau Tim dari OneKeyHQ meluncurkan Situs Untuk Mengecek dompet kita udah di modif atau belum
Ini webnya https://tampered.app/id

Agak kaget juga ketika saya cek gimana cara mereka membaca (foto atau gambar) yang divisualkan untuk memeriksa HW termodifikasi atau terimplan, ternyata mereka pakai Cloud AI. Ya, OneKey akan meneruskan foto tersebut ke cloud AI, lalu AI tersebut akan membaca nomor, dan code pada chip lalu membandingkan dengan yg ori, jadi kalau ada yang aneh, akan digaris bawahi sama AI untuk diterukan kembali ke tampered.app.

Artinya, pakai Cloud AI pun bisa untuk cuma analisa, namun kalau untuk referensi keamanan, bagus atau tidak, layak pakai atau tidak tuh HW, maka pakai tampered.app saja.

[ryzaadit]

AI tersebut akan membaca nomor, dan code pada chip lalu membandingkan dengan yg ori, jadi kalau ada yang aneh, akan digaris bawahi sama AI untuk diterukan kembali ke tampered.app.

Artinya, pakai Cloud AI pun bisa untuk cuma analisa, namun kalau untuk referensi keamanan, bagus atau tidak, layak pakai atau tidak tuh HW, maka pakai tampered.app saja.

Beberapa hal yang masih menjadi tanda tanya bagi saya, yaitu ketika si exploiters melakukan stempel chip dengan kode yang sama. Apakah AI akan membaca bahwa chips tersebut genuine atau tidak. BTW, adakah dari tampered.app contoh report yang sudah digunakan sebagai testing untuk websitenya? Agak penasaran juga soalnya bagaimana si AI ini mengidentifikasi komponennya.


Jujur, saya masih agak khawatir juga tentang masalah AI. Di thread yang dibuat oleh @AakZaki mengenai scam/phising yang dimana AI menyarankan website phising, disitu ada disclaimer bahwa AI bisa saja memberikan informasi yang salah/kadarluarsa/missleading. Sekedar sharing dan saran, mungkin walau memang sudah menggunakan AI tetep harus melakukan cross-check kembali secara manual.

[Chikito]

AI tersebut akan membaca nomor, dan code pada chip lalu membandingkan dengan yg ori, jadi kalau ada yang aneh, akan digaris bawahi sama AI untuk diterukan kembali ke tampered.app.

Artinya, pakai Cloud AI pun bisa untuk cuma analisa, namun kalau untuk referensi keamanan, bagus atau tidak, layak pakai atau tidak tuh HW, maka pakai tampered.app saja.

Beberapa hal yang masih menjadi tanda tanya bagi saya, yaitu ketika si exploiters melakukan stempel chip dengan kode yang sama. Apakah AI akan membaca bahwa chips tersebut genuine atau tidak. BTW, adakah dari tampered.app contoh report yang sudah digunakan sebagai testing untuk websitenya? Agak penasaran juga soalnya bagaimana si AI ini mengidentifikasi komponennya.

Kayaknya ini bakal menjadi masalah terbesar aplikasi ini, karena tidak bisa terdeteksi dengan foto. Kasus seperti ini pernah terjadi sama Joje Mendes, seorang profesional keamanan siber asal Brasil [1], dia memesan Nano S Plus dari toko online di china. Setelah sampai, dia mengecek HW tersebut dan membongkar (mungkin sudah insting) sehingga menemukan fakta kalau chips sudah dimodifikasi. chip ESP32-S3 code dan tulisannya dikerok, lalu dicap ulang seperti aslinya. Jadi kalau code tersebut di kirim ke tampered.app kemungkinan akan dikatakan asli karena dicap seperti original ledger. Artinya hal seperti ini sudah lama terjadi, cuma baru terblow up saja sekarang.

Kalau untuk mengindetifikasi komponen tersebut ori atau tidak, pastinya AI akan membandingkan database yang ada, kalau beda maka akan diflag. (database sudah pasti dikirim sama tampered.app ke AI untuk memproses gambar-gambar)

[1]. https://www.tomshardware.com/tech-industry/cyber-security/techie-buys-fake-ledger-nano-s-hardware-crypto-wallet-and-almost-falls-for-phishing-a-convincing-clone-would-have-caught-newbies-unaware

[Husna QA]

Setelah kejadian pengguna Legder kena Hack dan Beberapa Hw lainnya kini muncul inovasi Baru untuk mencapai titik aman atau Hw yang kita beli tidak di acak acak atau di modifikasi.

5 jam Yang lalu Ceo atau Tim dari OneKeyHQ meluncurkan Situs Untuk Mengecek dompet kita udah di modif atau belum
Ini webnya https://tampered.app/id
—snip—
Selain itu OneKeyHQ hari ini juga meluncurkan dompet transparan mereka

OneKey Classic 1S Pure / BTC-Only
Transparan. Tanpa baterai. Hanya Bitcoin.
Intip ke dalam tanpa perlu membongkarnya, sehingga manipulasi tak punya tempat bersembunyi.

https://x.com/OneKeyHQ/status/2110327197479436653

Berbicara tentang hardware wallet dengan cover transparan, ColdCard yang beberapa waktu lalu banyak usernya yang terkena peretasan juga identik dengan cover beberapa produk hardware walletnya yang transparan, bahkan ada yang tanpa cover:


https://coldcard.com/


https://opendime.com/

Btw, Ledger juga pernah mengeluarkan HW Nano S Plus yang transparan dengan beberapa variasi warna:


https://shop.ledger.com/products/ledger-nano-s-plus


Ledger yang dimodif hardware fisiknya, ColdCard yang disasar bug firmware-nya.
Dengan kata lain, 'titik aman' bukan hanya sekedar pada casing yang transparan saja, melainkan semua komponen, baik fisik hardware maupun software (firmware, aplikasi, dll.) juga mesti aman.

[mu_enrico]

btw kalau saya mending langsung ke electrum om, ya walau cuma 12 seed tapi kalau pakai passphrase tambahan bisa nama entropy-nya.

Electrum bukannya mnemonic-nya tidak compatible dengan dompet lain? Dulu sih begitu ya... Kalau passphrase, di ian coleman tool juga sudah ada.
Kalau buat mnemonic di electrum itu nanti tidak importable ke dompet lain, jadi tergantung kalau memang sudah komit di electrum ya bisa saja buat mnemonicnya langsung di electrum.
Kalau ane pribadi bikin mnemonic yang diterima di wallet lain (sesuai standar). Mana cuma 12 biji di electrum jadi kurang mantep.

Ledger yang dimodif hardware fisiknya, ColdCard yang disasar bug firmware-nya.
Dengan kata lain, 'titik aman' bukan hanya sekedar pada casing yang transparan saja, melainkan semua komponen, baik fisik hardware maupun software (firmware, aplikasi, dll.) juga mesti aman.

Betul, transparan itu cuma kosmetik.
Toh pembeli juga tidak tau kalau chip udah dikerjai, dsb, asalkan penyerangnya terampil secara fisik itu tidak kelihatan.
Kelihatan ada sesuatu yang janggal misalnya tidak rapi-pun pembeli juga bakal ragu ini bawaan pabrik atau memang karena dikerjai.

[Chikito]

btw kalau saya mending langsung ke electrum om, ya walau cuma 12 seed tapi kalau pakai passphrase tambahan bisa nama entropy-nya.

Electrum bukannya mnemonic-nya tidak compatible dengan dompet lain? Dulu sih begitu ya... Kalau passphrase, di ian coleman tool juga sudah ada.
Kalau buat mnemonic di electrum itu nanti tidak importable ke dompet lain, jadi tergantung kalau memang sudah komit di electrum ya bisa saja buat mnemonicnya langsung di electrum.
Kalau ane pribadi bikin mnemonic yang diterima di wallet lain (sesuai standar). Mana cuma 12 biji di electrum jadi kurang mantep.

Iya, Om, electrum seed tidak importable ke wallet lain, hanya beberapa saja yang bisa kayak Blue Wallet dan Sparrow Wallet. Komen saya itu hanya sebatas opini karena om merekomendasikan seed tersebut diimpor juga ke Electrum Wallet. Dan mengingat penggunaan iancoleman tool ini agak sensitif (untuk pemula), karena rawan phishing dan segala macam, memang harus hati-hati benar dan menjalankannya, harus download tool langsung dari github, serta running-nya harus offline di air-gapped device.

Dengan kata lain, 'titik aman' bukan hanya sekedar pada casing yang transparan saja, melainkan semua komponen, baik fisik hardware maupun software (firmware, aplikasi, dll.) juga mesti aman.

Pengalaman saya jual beli gadget dulu itu bakal kelihatan kalau sebuah HP atau Laptop itu bekas bongkaran/modif atau tidak (walau masih tersegel), kalau diteliti akan ada sedikit celah tipis di body gadget. Pasti ada bekas goresan congkelan walau samar2. Karena banyak penjual seken akan berusaha menjual gadgetnya dengan kata "masih segel" supaya cepat laku, tapi ternyata kalau kita cek, sudah pernah dibongkar atau diservice.

Perangkat HW yg sudah dimodif (walau bersegel) pun pasti akan kelihatan kalau sudah dibongkar, mungkin ini hal yang pertama musti kita lakukan adalah memeriksa body HW secara detil sebelum generate atau import seed.

[ryzaadit]

Perangkat HW yg sudah dimodif (walau bersegel) pun pasti akan kelihatan kalau sudah dibongkar, mungkin ini hal yang pertama musti kita lakukan adalah memeriksa body HW secara detil sebelum generate atau import seed.

Next, metode barunya.

Scan 3D casing dari Hardware Wallet. Exploiternya udah next-level yang di mana buat new casing dengan bahan yang sama, tingkat presisi yang cukup tipis, dan nantinya pindahin device asli yang sudah di-tampered ke dalam new casing yang mereka buat.

Jadi fresh macam tidak ada bongkaran, karena mereka menggunakan case baru yang mereka buat. Kayaknya next concern emang bakal ke casing-nya menurut ane, dengan adanya kasus ini orang-orang bakal cek hardware wallet-nya sebelum make apakah sudah ada potensi dibuka atau belum. Melakukan pengecekan macam ada titik yang longgar, atau semacam dent (penyok).


Apalagi kalau misalkan yang melakukan ini grup yang terorganisir, masih cukup bisa dijalankan dengan rapi. Mulai dari buat casing lagi, sampai mungkin aja buat custom PCB yang cocok dengan posisi baut & tempat di casingnya.