Penipuan Ledger Palsu Meningkatkan Kekhawatiran tentang Self Custody Crypto

Seorang peneliti keamanan asal Brasil telah menyatakan kekhawatirannya yang baru terkait meningkatnya jumlah penipuan yang menargetkan pengguna mata uang kripto menyusul pembelian dompet keras Ledger palsu secara tidak sengaja yang dirancang khusus untuk tujuan mencuri aset digital. Penipuan tersebut diposting secara daring di Reddit, dan hal ini menimbulkan kekhawatiran atas kecenderungan penipu menargetkan pengguna mata uang kripto yang melakukan penyimpanan mandiri (self-custody) dengan meniru dompet keras terkemuka dan sumber lain untuk melanggengkan penipuan mereka.

Peringatan ini dikeluarkan pada saat banyak dompet keras jenis Ledger dipasarkan secara besar-besaran sebagai salah satu metode teraman untuk menyimpan aset kripto secara offline; namun, peningkatan adopsi dompet keras juga telah menyebabkan peningkatan kreativitas di pihak mereka yang mencoba mencuri dari pengguna dengan menggunakan perangkat palsu yang dibuat secara curang, aplikasi perangkat lunak palsu, dan metode rekayasa sosial.

Bagaimana perangkat Ledger palsu ditemukan

Seorang peneliti keamanan dengan nama pengguna "Past_Computer2901" di subreddit "ledgerwallet" telah berbagi bahwa mereka telah membeli dompet keras Ledger yang (diduga) asli untuk penggunaan pribadi. Ketika dompet itu tiba, tampaknya berasal dari sumber yang sah berdasarkan cara pengemasannya; oleh karena itu, peneliti pada awalnya tidak menyadari adanya masalah.

Namun, setelah pemeriksaan lebih dekat dan pengujian perangkat, peneliti menentukan bahwa perangkat tersebut bukanlah produk yang sah melainkan merupakan bagian dari skema pemalsuan yang rumit untuk membahayakan dana pengguna segera setelah perangkat dihidupkan atau digunakan.

Peneliti mengatakan tingkat detail yang terkait dengan penipuan ini luar biasa. Para penyerang pasti telah mengerahkan upaya yang luar biasa untuk meniru tampilan kemasan yang sah, desain perangkat keras dari perangkat keras yang sebenarnya, dan pengalaman pengguna yang terlibat dengan penggunaan Dompet Keras Ledger yang autentik.

Peneliti juga mencatat bahwa mereka masih terkejut karena skala operasi ini tetapi ingin membagikan informasi ini kepada komunitas mata uang kripto agar mereka dapat tetap aman dari ancaman yang berkembang ini.

Mengapa dompet keras palsu sangat berbahaya

Dompet keras Ledger menyimpan kunci privat secara offline untuk melindunginya dari peretasan online. Kebanyakan orang menggunakan dompet keras untuk penyimpanan jangka panjang mata uang kripto mereka karena juga mengurangi risiko terinfeksi malware atau menjadi korban serangan phishing.

Meskipun demikian, perangkat palsu sepenuhnya meniadakan model keamanan ini. Alih-alih melindungi kunci privat, perangkat palsu mungkin telah dirancang untuk:

- Membuat seed phrase yang telah dikompromikan

- Membocorkan kunci privat selama pengaturan perangkat

- Mengalihkan dana ke alamat penyerang

- Menginstal pembaruan firmware berbahaya

- Mengelabui pengguna agar mengungkapkan frasa pemulihan mereka

Karena kepercayaan inheren yang diberikan pengguna pada dompet keras, sebagian besar pengguna tidak akan tahu apakah suatu perangkat telah dirusak sampai setelah mereka kehilangan dananya.

Bahaya yang ditimbulkan oleh perangkat palsu semakin diperparah oleh fakta bahwa mereka menggabungkan risiko perusakan fisik dengan kepercayaan inheren yang diberikan banyak pengguna pada merek-merek terkenal.

Tren serangan rantai pasokan kripto yang berkembang

Peristiwa ini adalah bagian dari tren keseluruhan peningkatan kecanggihan serangan terhadap individu yang telah memilih untuk mengendalikan mata uang kripto mereka sendiri dengan menggunakan solusi self-custody.

Selama beberapa tahun terakhir, penyerang telah beralih dari skema phishing sederhana ke taktik rantai pasokan yang jauh lebih canggih seperti:

Dompet keras palsu yang dijual melalui pengecer tidak resmi

Perusakan perangkat keras yang dijual di pasar sekunder

Pengemasan ulang dan penggantian nama produk produsen yang sah sebagai barang palsu

Pencurian paket saat mereka bergerak melalui sistem pengiriman untuk mengganti produk palsu dengan yang sah

Dompet keras palsu yang dimuat sebelumnya menggunakan seed phrase atau firmware orang lain yang sudah dimuat sebelumnya

Tindakan-tindakan ini menciptakan kesempatan bagi para korban (pengguna) untuk tidak dapat membedakan produk asli dari produk palsu, terutama ketika mereka membeli produk mereka dari sumber pihak ketiga/penjual beberapa tingkat yang tidak memverifikasi penjual.

Para ahli di bidang ini menunjukkan bahwa model self-custody adalah cara yang disukai banyak orang untuk menyimpan mata uang kripto, karena mereka cenderung tidak menggunakan solusi kustodi terpusat dan oleh karena itu memiliki tingkat nilai yang lebih tinggi yang tersimpan dalam mata uang kripto.

Insiden Terkait yang Melibatkan Aplikasi Ledger Live Palsu

Pemberitahuan tentang perangkat palsu ini dikeluarkan setelah beberapa insiden keamanan serius lainnya bulan ini yang terjadi dengan aplikasi palsu yang menyamar sebagai Ledger Live, yang merupakan aplikasi resmi yang digunakan untuk mengelola Dompet Ledger. Lebih dari 50 korban dilaporkan telah memasukkan 'seed phrase' (kata kunci atau frasa) mereka ke dalam aplikasi Ledger Live palsu yang tersedia di Apple App Store sebagai tautan tidak sah yang dialihkan (skema "bait-and-switch").

Ketika para korban memasukkan frasa pemulihan mereka, para penyerang kemudian melanjutkan untuk menarik uang dari dompet korban. Total kerugian dari insiden ini diperkirakan mencapai sekitar $9.5 juta, sebelum aplikasi berbahaya tersebut dihapus oleh Apple.

Serangan ini juga menunjukkan kerentanan bahkan aplikasi tepercaya yang diunduh dari "toko aplikasi", karena mereka dapat dengan mudah dikompromikan oleh kemampuan penyerang untuk menghindari atau melewati proses peninjauan aplikasi toko aplikasi dan/atau mengunggah pembaruan berbahaya ke aplikasi mereka setelah persetujuan awal telah diberikan.

Mengapa Pencurian Seed Phrase Tetap Menjadi Risiko Paling Kritis

Di antara semua penipuan modern dalam ranah mata uang kripto, tema yang sama muncul saat penipu berusaha mendapatkan akses ke seed phrase Anda. Seed phrase adalah kata sandi utama dompet mata uang Anda dan biasanya terdiri dari dua belas hingga dua puluh empat kata. Siapa pun yang memiliki akses ke seed phrase Anda memiliki akses penuh ke dana di dalam dompet Anda.

Penipu menggunakan taktik rekayasa sosial terutama untuk memotivasi pengguna agar mengungkapkan seed phrase mereka. Beberapa contohnya adalah:

Permintaan Pemulihan Dompet Palsu

Menyamar sebagai Personel Dukungan Pelanggan

Aplikasi Berbahaya yang meminta konfirmasi pengguna

Perangkat Palsu yang Meminta Pengguna untuk "Memverifikasi" Perangkat Mereka di Internet

Peringatan Keamanan Palsu yang Menunjukkan Ada Sesuatu yang Salah dengan Akun Pengguna

Memulihkan dari seed phrase yang dicuri setelah terekspos biasanya tidak mungkin karena cara kerja sebagian besar aplikasi blockchain, dalam sebagian besar kasus semua transaksi tidak dapat dibatalkan.

Pakar keamanan memperingatkan peningkatan kecanggihan

Seorang ilmuwan Brasil menyatakan kekhawatiran tentang perkembangan yang mengganggu dalam keamanan siber – penipuan kripto menjadi lebih terstruktur, canggih, dan sulit dideteksi dibandingkan beberapa tahun yang lalu. Sementara di masa lalu, penipuan umumnya melibatkan email phishing yang jelas atau situs web yang dibangun dengan buruk, kemajuan yang dibuat oleh penipu dapat mencakup kombinasi dari:

Branding dan Kemasan Berkualitas Tinggi

Produk Palsu Fungsional yang Berfungsi Sama seperti Aslinya

Aplikasi Seluler yang Dikloning dengan Antarmuka Pengguna yang Hampir Identik

Dukungan Pelanggan yang Terlihat Nyata

Jaringan Distribusi Multi-nasional

Karena kecanggihan produk-produk ini, orang awam mungkin tidak dapat mengidentifikasi apakah produk yang mereka gunakan itu palsu atau tidak sampai terlambat. Para ahli mengatakan bahwa penipu bukan lagi oportunis acak; mereka telah menjadi sindikat terorganisir yang terlibat dalam operasi penipuan kompleks, multi-tahun, dan canggih.

Dampak pada Kepercayaan terhadap Solusi Self-Custody

Komunitas kripto mendorong self-custody sebagai metode bagi pengguna untuk mempertahankan kendali atas kunci privat mereka sendiri tanpa perlu mempercayai pertukaran terpusat. Contoh yang baik tentang risiko yang terlibat dalam kepemilikan penuh aset digital kripto adalah berita terbaru seputar penipuan Ledger palsu.

Self-custody melindungi pengguna dari risiko dengan menghilangkan pihak lawan dari transaksi. Namun, itu juga menempatkan 100% tanggung jawab untuk mengamankan kripto mereka pada pengguna individu.

Pengguna sekarang harus sangat berhati-hati dalam hal keaslian perangkat yang mereka gunakan, integritas perangkat lunak yang dimuat pada perangkat tersebut, dan kemampuan pengguna untuk mengikuti praktik keamanan operasional yang baik.

Peristiwa terbaru seperti penipuan Ledger palsu dapat menyebabkan banyak pengguna mengevaluasi kembali metode penyimpanan aset digital mereka, terutama jika mereka tidak cukup yakin dengan kemampuan mereka untuk mengidentifikasi dan/atau mendeteksi upaya penipuan yang canggih.

Pelajaran penting bagi pengguna kripto

Ada banyak tanda yang membantu Anda mengidentifikasi cara melindungi diri dari penipuan:

1. Selalu beli dompet keras Anda melalui pengecer resmi atau dari situs resmi produsen.

2. Pastikan Anda memeriksa kemasan dan mencari tanda perusakan serta mengonfirmasi fungsionalitas perangkat sebelum digunakan.

3. Memasukkan seed phrase untuk dompet Anda seharusnya hanya terjadi selama pengaturan awal dompet keras.

4. Unduh perangkat lunak Anda hanya dari sumber yang sah; baik melalui toko aplikasi resmi atau melalui tautan yang disediakan oleh produsen.

5. Jika Anda membeli dompet keras Anda dari sumber pihak ketiga dan harganya jauh lebih murah dari harga yang disarankan produsen, lanjutkan dengan hati-hati.

6. Selalu konfirmasi verifikasi resmi firmware dari produsen.

Meskipun tidak satu pun dari langkah-langkah ini sepenuhnya menghilangkan risiko penipuan atau perangkat yang dirusak, masing-masing telah memainkan peran utama dalam mengurangi risiko menjadi korban perangkat palsu atau yang dirusak.

Kesimpulan

Penemuan dompet keras Ledger palsu oleh seorang peneliti keamanan asal Brasil menunjukkan lanskap ancaman yang berkembang pesat dan sangat canggih dalam mata uang kripto. Evolusi konstan serangan rantai pasokan dan taktik rekayasa sosial berarti bahwa pengguna yang mengandalkan self-custody perlu tetap waspada.

Kemunculan terbaru aplikasi Ledger Live palsu, yang menyebabkan kerugian jutaan dolar, menunjukkan bahwa penipuan kripto berkembang dari phishing dasar menjadi operasi yang jauh lebih kompleks yang mengaburkan batas antara produk asli dan palsu.

Pesan kepada pengguna jelas. Dalam skenario di mana kendali sama dengan tanggung jawab, pendidikan keamanan tidak lagi opsional; itu wajib untuk menjaga aset digital seseorang.