Ledger Investigasi Dugaan Pengurasan $90 Juta: Pembeli Reseller CryptoBilis di Asia Tenggara Jadi Target
SoliusXBT
3 minggu laluDiperbarui 12 Oktober 20268 mnt baca 
Produsen hardware wallet Ledger sedang menginvestigasi laporan kehilangan dana dari para penggunanya di Asia Tenggara. Titik masalahnya bukan di perangkat Ledger itu sendiri, melainkan di jalur pembeliannya: sebuah reseller asal Malaysia bernama CryptoBilis. Sejumlah peneliti on-chain memperkirakan total kerugian mencapai hampir $90 juta, dan verifikasi independen atas datanya menunjukkan pengurasan yang terkoordinasi di beberapa blockchain dalam satu pagi yang sama.
Kabar ini pertama kali meledak pada 9 Oktober 2026 lewat akun analis on-chain Lookonchain. Dalam postingannya, Lookonchain menyebut banyak pengguna Ledger yang membeli device dari reseller “CryptoBillis” dananya dicuri, dengan total kerugian hampir $90 juta. Salah satu korban disebut membeli Ledger dari reseller itu tiga minggu sebelumnya, lalu mendepositkan 7 juta USDT yang seluruhnya raib sekitar 10 jam sebelum postingan tersebut terbit.
Pernyataan resmi Ledger
Tak lama setelah kabar itu menyebar, akun @Ledger_Support mengeluarkan pernyataan resmi pada 9 Oktober 2026. Isinya: Ledger sedang menginvestigasi laporan kehilangan dana dari pengguna di Asia Tenggara yang membeli produk dari reseller bernama CryptoBilis. Sebagai tindakan pencegahan, Ledger meminta reseller tersebut menghentikan semua penjualan dan pengiriman device Ledger selama investigasi berjalan.
Imbauan Ledger cukup tegas. Pengguna yang membeli dari reseller ini dalam 90 hari terakhir diminta tidak melakukan setup bila perangkatnya belum dipakai. Yang sudah terlanjur setup disarankan memindahkan seluruh aset ke signer Ledger baru dengan seed phrase yang baru dibuat.
Akun utama @Ledger kemudian menambahkan klarifikasi dalam dua balasan (9 dan 10 Oktober): berdasarkan informasi sejauh ini, dana yang terkuras diyakini terbatas pada device yang dijual lewat reseller CryptoBilis di Asia Tenggara, dan Ledger menyatakan tidak ada indikasi infrastruktur, sistem, atau layanannya dikompromikan. Pada 10 Oktober, @Ledger_Support mengeluarkan pernyataan yang mengubah status investigasi: Ledger mengonfirmasi salah satu perangkat milik korban yang terdampak berisi unauthorized hardware implant, chip asing yang dipasang tanpa izin. Ini bukti fisik pertama yang mendukung dugaan serangan supply chain. Sehari kemudian, dalam update 72 jam, Ledger menyebut volume perangkat yang terdampak tampaknya terbatas, semua kasus terkonfirmasi sejauh ini melibatkan device dari CryptoBilis, dan mereka bekerja sama dengan otoritas terkait. Perlu dicatat, seluruh komunikasi resmi Ledger soal insiden ini hanya lewat X, dan Ledger tidak pernah menyebut angka kerugian maupun menuduh CryptoBilis melakukan apa pun.
Siapa CryptoBilis
CryptoBilis (nama resminya satu “l”, meski Ledger sempat menuliskannya “CryptoBillis”) adalah toko hardware wallet asal Malaysia yang berbasis di Kuala Lumpur/Petaling Jaya, didirikan oleh Arravind Prabu. Toko ini menjual berbagai merek: Ledger, Trezor, Tangem, SafePal, OneKey, dan lainnya, lewat tiga domain: cryptobilis.com (Malaysia), cryptobilis.id (Indonesia), dan cryptobilis.com.ph (Filipina).
Yang membuat kasus ini sensitif: CryptoBilis tercantum sebagai authorized reseller resmi Ledger untuk Indonesia, Malaysia, dan Filipina. Artinya para korban bukan membeli dari toko abal-abal, melainkan dari jalur yang selama ini dianggap resmi. Pada 10 Oktober, CryptoBilis mengeluarkan notis: menghentikan penjualan dan pengiriman semua merek hardware wallet di toko online maupun fisik di tiga negara, meminta pelanggan yang belum setup untuk berhenti, dan meminta korban menyimpan perangkat beserta kemasannya serta melapor ke polisi. Proses mereka disebut sedang ditinjau bersama pakar independen.
Yang terverifikasi on-chain
Tim kami memverifikasi langsung dua kasus terbesar lewat data blockchain publik, dan keduanya cocok dengan klaim yang beredar:
Kasus 7 juta USDT. Alamat Tron TY24Ya7z1zHn4Br38SgwSxdvcbD9syWg6D menerima total 7.001.000 USDT dalam beberapa transaksi pada 15, 25, dan 29 September 2026. Pada 9 Oktober 2026 pukul 05:07 UTC, seluruh 7.001.000 USDT keluar dalam satu transaksi ke alamat TK6DWNpNe1w2iJRNFpU8aHdrPTATxvXT6C, alamat yang dilabeli “Ledger Drainer” oleh peneliti.
Kasus 80 BTC. Alamat bc1q9r0jxknrtlc96dankvgkwa0347569rc6dn53fs menampung 80 BTC, lalu seluruhnya disapu dalam satu transaksi pada 9 Oktober 2026 pukul 05:54 UTC ke alamat bc1qqnkwurxs99xkx5t4yffqhq3u6qwy0qpjyujtm9. Saldo korban kini nol.
Sumber: TronScan public API dan mempool.space API, diverifikasi langsung 11 Okt 2026.
Yang juga terkonfirmasi: pengurasan terjadi terkoordinasi. Dalam jendela sekitar satu jam pada pagi 9 Oktober, beberapa alamat drainer di jaringan Tron menerima dana dari belasan dompet korban secara bersamaan, sementara 80 BTC disapu di jaringan Bitcoin pada menit yang hampir sama. Pola ini konsisten dengan satu aktor yang mengeksekusi pengurasan massal, bukan peretasan satu per satu.
Update 12 Oktober: penyebab pertama terkonfirmasi, angka masih estimasi
Di sinilah pembaca perlu bersikap kritis. Angka kerugian yang beredar semuanya berasal dari estimasi peneliti independen, bukan dari Ledger: hampir $90 juta (Lookonchain), lebih dari $86 juta (Specter), $92,9 juta dari 311 dompet (Bitquery), $93,4 juta dari 471 alamat (Yfarmx), dan $93,2 juta dari 315 dompet di enam blockchain (dilaporkan CryptoTimes). Semuanya belum dikonfirmasi Ledger, dan metodologi tiap peneliti bisa berbeda.
Untuk penyebabnya, kini ada titik terang. Konfirmasi Ledger pada 10 Oktober bahwa satu perangkat korban berisi unauthorized hardware implant adalah bukti fisik pertama serangan supply chain: perangkat dimodifikasi sebelum sampai ke tangan pembeli. Detail teknisnya mulai terkuak. Tibane Labs menerbitkan whitepaper yang mendeskripsikan implant berisi mikrokontroler dan hardware komunikasi seluler yang tersambung ke jalur data internal layar. Peneliti Joe Grand dan tim Tibane Labs mengidentifikasi tiga versi implant, yang cara kerjanya diduga menangkap recovery phrase saat pengguna melakukan setup perangkat. Siapa pun yang memegang recovery phrase bisa menguras dompet dari mana saja, tanpa perlu persetujuan transaksi korban. Peneliti Mark Karpelès juga melaporkan menemukan modul elektronik mencurigakan di balik layar sebuah Ledger Nano X dari Malaysia. Namun batasannya harus jelas: Ledger baru mengonfirmasi satu perangkat, dan belum ditetapkan apakah implant menjadi penyebab seluruh kasus yang dilaporkan.
Ada juga klaim yang beredar bahwa CryptoBilis telah dijual ke pembeli asal China sebelum insiden, berdasarkan dokumen registry yang muncul di X. Klaim ini baru dilaporkan satu media dan belum terverifikasi, jadi perlakukan sebagai rumor sampai ada bukti primer. Yang tercatat dari pemberitaan: para pendiri lama CryptoBilis menyerahkan kendali operasional ke manajemen baru pada Maret 2026, beberapa bulan sebelum pencurian terjadi. Begitu pula kabar Tether membekukan sekitar $10 juta USDT terkait kasus ini yang belum ada pengumuman resminya.
Singkatnya: Ledger kini mengonfirmasi satu perangkat korban berisi implant hardware yang tidak sah, bukti fisik pertama bahwa perangkat dimodifikasi sebelum sampai ke pembeli. Pengurasan massal terverifikasi terjadi on-chain. Yang belum pasti: total kerugiannya (semua angka masih estimasi pihak ketiga) dan apakah implant menjadi penyebab seluruh kasus.
Sudut manusiawi: kasus orpheuskaze
Di tengah ramainya kabar ini, akun @orpheuskaze bercerita kehilangan 12.772 USDC pada 9 Oktober. Ledger miliknya dibeli dari seorang reseller tiga tahun lalu. Namun kasusnya perlu dibaca dengan hati-hati: dia sendiri menyebut dua kemungkinan penyebab, yaitu reseller tempatnya membeli ATAU fakta bahwa dia pernah mengekspor seed phrase-nya ke MetaMask setahun lalu. Belakangan dia menemukan emailnya juga diretas dan mencurigai seed phrase-nya tersimpan di email.
Kasus ini belum terkonfirmasi sebagai bagian dari insiden CryptoBilis, dan pola waktunya (pembelian tiga tahun lalu, jauh di luar jendela 90 hari yang disebut Ledger) membuatnya meragukan sebagai korban serangan yang sama. Tapi ceritanya tetap jadi pengingat yang relevan: seed phrase yang pernah tersentuh internet, dalam bentuk apa pun, pada dasarnya sudah tidak aman lagi.
Cara aman untuk pembaca di Indonesia
Terlepas dari bagaimana investigasi ini berakhir, ada langkah praktis yang bisa langsung diterapkan:
- Beli hanya dari sumber resmi. Idealnya langsung dari ledger.com, atau dari daftar authorized reseller di situs resmi Ledger. Harga miring dari reseller tidak resmi bukan penghematan, melainkan taruhan.
- Jangan pernah memakai seed phrase yang sudah tertulis. Perangkat Ledger yang asli selalu meminta pengguna membuat seed phrase baru saat setup. Kalau di dalam kemasan ada kartu berisi 24 kata yang sudah terisi, itu perangkat yang sudah dikompromikan. Jangan dipakai.
- Kalau kamu beli dari CryptoBilis dalam 90 hari terakhir, ikuti imbauan Ledger: jangan setup perangkat yang belum dipakai. Kalau sudah dipakai, pindahkan semua aset ke signer baru dengan seed yang baru dibuat, lalu anggap perangkat lama sudah tidak aman.
- Seed phrase tidak pernah boleh tersentuh internet. Jangan disimpan di email, catatan HP, foto, atau cloud. Tulis di kertas (atau media fisik), simpan di tempat aman, dan jangan pernah mengetikkannya di website atau aplikasi apa pun.
- Waspadai phishing yang memanfaatkan momen ini. Setiap insiden besar selalu diikuti gelombang email dan situs palsu yang mengatasnamakan Ledger. Ledger tidak akan pernah meminta seed phrase kamu.
Investigasi masih berjalan dan artikel ini akan diperbarui begitu ada temuan resmi. Untuk sekarang, prinsipnya sederhana: kalau ragu deng
an perangkatmu, pindahkan dananya dulu, selidiki kemudian. Aset yang sudah dipindah ke seed baru tidak bisa dikuras dari seed lama.
Crypto enthusiast dan pemburu memecoin. Suka bedah narasi, ngulik token micin, dan menerjemahkan gonjang-ganjing pasar ke bahasa yang gampang dipahami.
1 Komentar