Pengedar Ledger Disuntik Backdoor: Kerugian Meningkat kepada Kira-kira USD93 Juta, Adakah Peranti Anda Terjejas?

Pengedar sah Ledger dipasang backdoor: kerugian meningkat kepada kira-kira AS$93 juta, masalahnya pada perkakasan bukan dompet

Sejak 9 Oktober 2026, sekumpulan pengguna dompet perkakasan Ledger mendapati aset mereka dikosongkan. Seiring siasatan berjalan, sifat sebenar insiden ini semakin jelas: yang diceroboh bukanlah firmware dompet Ledger, bukan juga algoritma penyulitan, tetapi peranti itu telah diusik sebelum sampai ke tangan pengguna.

Ledger kemudian mengesahkan bahawa terdapat "implants perkakasan tanpa kebenaran" (unauthorized hardware implant) dalam satu peranti yang terjejas. Menurut penjelasan Ledger, implan sebegini akan menghantar frasa benih pengguna keluar dari peranti melalui rangkaian LTE. Maksudnya, penyerang tidak perlu memecahkan mana-mana kriptografi—cukup dengan mendapatkan frasa benih yang dijana oleh pengguna sendiri, sudah memadai.

Fakta utama: yang bermasalah ialah pengedar sah CryptoBilis

CryptoBilis sebelum ini merupakan pengedar sah Ledger di Indonesia, Malaysia dan Filipina. Perkara ini amat penting bagi pengguna Asia: jika anda dalam beberapa tahun kebelakangan ini membeli peranti melalui ejen tempatan, pengedar atau saluran e-dagang, dan bukan terus daripada laman web rasmi Ledger, anda perlu menyemak dengan teliti sumber pembelian peranti anda.

Langkah pengendalian rasmi: empat langkah, satu pun tidak boleh dilangkau

1. Peranti yang belum diinisialisasi, jangan inisialisasi. Ledger dengan jelas meminta pengguna tidak mengaktifkan peranti daripada pengedar tersebut yang belum diinisialisasi.
2. Yang sudah digunakan, pindahkan aset secepat mungkin. Pindahkan ke penandatangan yang serba baharu, dan jana frasa benih yang serba baharu bersamanya.
3. Jangan sekali-kali memasukkan atau memulihkan frasa benih pada peranti ini. Sama ada mencipta baharu atau mengimport, asalkan frasa benih melalui peranti yang telah diimplan, ia sama seperti menyerahkannya terus kepada penyerang.
4. Jangan buka peranti sendiri untuk mengesahkan. Hubungi sokongan rasmi Ledger, ikut prosedur yang betul.

Bagaimana menilai sendiri sama ada anda terjejas

• Perhatikan kad frasa benih. Semasa membuka kotak peranti baharu, kad frasa benih di dalam bungkusan sepatutnya kosong—frasa benih mesti dijana sendiri oleh peranti semasa inisialisasi. Jika kad itu sudah tercetak perkataan, atau manual menyuruh anda "gunakan frasa yang disertakan", hentikan penggunaan dengan segera.
• Sahkan ketulenan peranti. Gunakan Ledger Live melalui saluran rasmi untuk mengesahkan sama ada peranti itu tulen, dan kemas kini firmware hanya daripada sumber rasmi.
• Semak semula saluran pembelian. Adakah ia pengedar sah? Adakah rekod saluran dan invois masih ada?
• Cara penilaian paling menyeluruh ialah "anggap sudah bocor". Asalkan sumber peranti diragui, kendalikannya sebagai sudah bocor—pindahkan aset, tukar frasa benih baharu, kos ini jauh lebih rendah daripada kerugian akibat kecurian.

Melihat perkara ini kembali dalam konteks industri

Insiden ini wajar diberi perhatian oleh semua pengguna dompet perkakasan kerana ia mematahkan satu andaian lalai: sebelum ini secara umum dianggap "dompet sejuk menyimpan kunci peribadi di luar talian, jadi ia paling selamat", tetapi serangan kali ini memintas dompet itu sendiri, dan bertindak terus daripada rantaian bekalan. Apabila penyerang boleh menyentuh peranti pada peringkat logistik, penyimpanan luar talian tidak lagi menjadi penghalang mutlak.

Ia juga bukan insiden terpencil. Pada suku ketiga 2026, kerugian industri kripto akibat serangan pengodam melebihi AS$1.17 bilion, dengan jumlah terkumpul sepanjang tahun menghampiri AS$2.1 bilion. Pada masa yang sama, penyelidik Yayasan Ethereum juga memberi amaran bahawa kaedah serangan berbantukan AI mungkin mengancam keselamatan dompet dengan lebih lanjut. Dompet perkakasan masih lebih selamat daripada meletakkan kunci peribadi pada peranti yang bersambung ke internet, tetapi "apa yang dilalui peranti sebelum sampai ke tangan anda" kini mesti dimasukkan dalam penilaian.

Tiga saranan praktikal untuk pengguna biasa

• Semasa menukar peranti, anggap "saluran" sama pentingnya dengan "model". Utamakan laman web rasmi jenama atau saluran sah yang boleh disahkan.
• Jika sumber diragui, pindahkan dahulu, siasat kemudian. Urutan pengendalian yang selamat ialah "selamatkan aset dahulu, bincang tanggungjawab kemudian".
• Frasa benih hanya dijana pada peranti yang anda sendiri pastikan bersih. Peraturan ini tidak akan berubah atas sebab jenama atau harga.

Untuk memahami pemilihan dompet dan pengurusan kunci peribadi secara sistematik, anda boleh membaca bersama panduan pemilihan dompet mata wang kripto, panduan keselamatan frasa benih dan kunci peribadi serta kebenaran dompet dan pencegahan phishing di laman ini; kesan awal insiden ini dari segi pasaran juga kami catatkan dalam analisis mendalam pasaran kripto 14 Oktober. Jika anda sedang memilih platform untuk menyimpan aset jangka panjang, mekanisme bukti rizab dan keselamatan akaun platform utama seperti Binance dan OKX juga boleh disemak sekali.

Amaran risiko

Artikel ini menghimpunkan maklumat awam sehingga Oktober 2026. Skop peranti terjejas, ukuran jumlah kerugian dan perkembangan tindakan rasmi masih dikemas kini secara berterusan, sila rujuk pengumuman rasmi Ledger dan penjelasan terkini saluran sokongan rasmi. Artikel ini bukan nasihat pelaburan.

Amaran risiko dan pendedahan promosi: Aset kripto tidak boleh dipulihkan sebaik sahaja dipindahkan, operasi berkaitan dompet perkakasan dan frasa benih mesti disahkan melalui saluran rasmi. Artikel ini ialah himpunan dan tafsiran maklumat awam, bukan nasihat pelaburan. Artikel ini mengandungi pautan promosi, kami mungkin mendapat komisen melalui pendaftaran pautan, ia tidak menambah kos yang anda bayar, dan tidak menjejaskan pertimbangan bebas artikel ini. Skop insiden, jumlah dan tindakan rasmi yang disebut dalam artikel adalah tertakluk kepada pengumuman rasmi Ledger, maklumat sehingga Oktober 2026.