Probe terkait implant Ledger masih mengarah pada satu penjual saja, yaitu reseller asal Asia Tenggara, CryptoBilis, menurut pembaruan per 13 Oktober. Namun, para pengguna langsung membalas dalam hitungan menit, dengan klaim bahwa perangkat yang telah dimodifikasi juga ditemukan di MediaMarkt, salah satu jaringan elektronik besar di Eropa.
Ledger menyampaikan bahwa mereka sedang meninjau laporan mengenai implant di produk penanda tangan dan lokasi lain. Meskipun demikian, dalam pembaruannya, mereka hanya menyebutkan CryptoBilis sebagai retailer, sehingga kritik muncul karena keheningan ini dianggap sebagai upaya menutupi masalah yang sebenarnya.
Apakah Masalah Implant Ledger Lebih Besar Dari Satu Reseller?
Berdasarkan tim keamanan internal perusahaan, Ledger Donjon, implant ini membaca frasa pemulihan dari layar saat perangkat diatur pertama kali. Lalu, alat ini mengirim 24 kata tersebut melalui jaringan seluler.
Meski begitu, beberapa pengguna menegaskan bahwa masalah ini tidak hanya terjadi di Asia. Banyak tanggapan yang mempertanyakan kenapa pembaruan tersebut tidak menyebut MediaMarkt maupun lokasi lain di Eropa.
Salah satu pengguna mengklaim rantai pasokan Ledger di Eropa juga ikut terkompromi. Ia mengatakan bahwa perangkat kedua yang ia beli dari toko MediaMarkt lain juga terdapat kabel tambahan dan modul seluler yang sama. Ia pun menyerukan penarikan produk dan membagikan video unboxing sebagai bukti.
Berdasarkan catatan toko, stok tersebut berasal dari Aqipa, distributor elektronik di Eropa, tambahnya lagi. Ia kini sudah mengirim alat itu ke Ledger untuk dianalisis lebih lanjut.
Hingga saat ini, Ledger belum mengonfirmasi adanya kasus selain di CryptoBilis.
Siapa yang Menanggung Kerugian Akibat Penanda Tangan yang Sudah Dimodifikasi?
Ledger menyarankan para pengguna yang kehilangan aset untuk menghubungi Support agar kasusnya bisa didata, serta meminta mereka membuat laporan polisi. Tetapi, pada pembaruan terbarunya, Ledger tidak membahas tentang penggantian kerugian.
Ledger juga belum menjelaskan berapa jumlah pengguna yang kehilangan aset maupun total kerugiannya. Salah satu trader dilaporkan telah kehilangan Bitcoin senilai US$6,6 juta setelah membeli melalui reseller tersebut.
Fitur Genuine Check milik Ledger, yaitu alat penguji keaslian bawaan, memang dapat memverifikasi chip keamanan, namun tidak semua komponen di sekitarnya ikut terdeteksi. Karena itu, sebuah chip pengintai tersembunyi masih bisa lolos dari pemeriksaan ini.
Perusahaan Ledger juga menegaskan bahwa mereka tidak akan pernah menelepon pengguna, mengirimi pesan secara langsung, maupun meminta frasa pemulihan.
Ledger tetap menganjurkan para pembeli dari CryptoBilis untuk segera memindahkan dana mereka ke penanda tangan baru dengan frasa pemulihan yang benar-benar baru. Beberapa pemilik kini menimbang hardware wallet mereka untuk mendeteksi modifikasi, meski hasil penimbangan yang sama belum tentu membuktikan apapun.
Untuk sementara, kasus implant di Ledger ini memindahkan perdebatan soal kepercayaan dari chip ke rak toko ritel. Jika kasus di Eropa terbukti, maka masalah reseller ini bisa berubah menjadi isu penarikan massal produk.
