Ledger menolak klaim peretasan setelah pesaingnya, OneKey, berhasil memperagakan kembali serangan penggantian transaksi pada aplikasi Ethereum (ETH) versi 1.22.1, yang sebenarnya sudah ditambal dua minggu sebelumnya.
Poin Penting:
- Tim keamanan Anzen milik OneKey merekonstruksi serangan penggantian transaksi terhadap aplikasi Ethereum Ledger versi 1.22.1 di lingkungan laboratorium.
- Ledger menyatakan kelemahan inti sudah diperbaiki di aplikasi Ethereum versi 1.22.2 pada 13 Agustus dan tidak menemukan indikasi eksploitasi terhadap pengguna.
- Perusahaan kini meminta pelanggan memasang aplikasi Ethereum versi 1.22.3 atau yang lebih baru dan memeriksa versi yang tampil di perangkat.
Ledger Bantah Klaim Peretasan OneKey
Pendiri dan CEO OneKey, Yishi Wang, menulis di X pada Kamis bahwa tim keamanan Anzen milik perusahaannya telah menjalankan serangan tersebut secara end-to-end di laboratorium. Ia menjelaskan bug itu berbentuk race condition antara logika tampilan transaksi dan buffer transaksi di dalam perangkat. Tim teknis OneKey membangun ulang sendiri versi aplikasi yang terdampak untuk mereplikasi alur serangan secara penuh.
Ledger menggambarkan kondisi serupa dalam buletin yang terbit di hari yang sama dan juga menyebutnya sebagai race condition. Perangkat yang menjalankan aplikasi terdampak bisa menampilkan satu set detail transaksi di layar, sementara diam‑diam menghasilkan tanda tangan atas detail transaksi yang berbeda sama sekali.
Baca Juga: Ethereum Uji Resistensi Kunci $2.5K, Risiko Koreksi Meningkat
Charles Guillemet Persoalkan Framing Eksploitasi
Chief technology officer Ledger, Charles Guillemet, menyebut demonstrasi OneKey itu lebih sebagai latihan laboratorium, bukan temuan eksploitasi nyata.
Ia berpendapat bahwa sekadar memunculkan kembali bug yang sudah ditambal beberapa minggu lalu tidak bisa disebut sebagai “meretas” perusahaan atau penggunanya. Untuk menyerang pengguna nyata, pelaku terlebih dulu harus menguasai jalur komunikasi antara perangkat dan host—misalnya lewat malware, aplikasi wallet yang terkompromi, atau situs berbahaya. Kelemahan tersebut tidak pernah mengekspos seed phrase atau private key di dalam chip aman; yang berubah hanya parameter transaksi yang ditandatangani perangkat.
Ledger menyatakan tidak menemukan bukti ada pihak yang memanfaatkan celah ini terhadap pelanggan di dunia nyata, dan sejauh ini belum ada dana yang hilang secara publik dikaitkan dengan bug tersebut. Tim riset Donjon Ledger menegaskan episode ini menunjukkan pentingnya dompet keras mendukung pembaruan perangkat lunak, karena dompet yang tak bisa ditambal di lapangan praktis tak bisa diperbaiki sama sekali.
Linimasa Patch Aplikasi Ethereum Ledger
Ledger melacak regresi bug ini ke Agustus 2025 dan menyebutnya memengaruhi semua rilis Secure SDK hingga versi 26.6.0, yang dipublikasikan pada 11 Agustus. Perlindungan di level aplikasi dirilis lebih dulu melalui aplikasi Ethereum versi 1.22.2 pada 13 Agustus, sekitar dua minggu sebelum demonstrasi yang dilakukan pembuat wallet pesaing tersebut.
Perusahaan kemudian merilis Secure SDK 26.6.1 pada 21 Agustus, membangun ulang aplikasinya dengan basis SDK baru, dan pada 27 Agustus menerbitkan buletin yang mendesak pengguna untuk memasang aplikasi Ethereum versi 1.22.3 atau yang lebih baru.
Ketegangan ini muncul beberapa minggu setelah peretas mulai menguras Bitcoin (BTC) dari dompet Coldcard pada 30 Juli, dengan memanfaatkan cacat firmware yang sudah ada sejak Maret 2021 dan melemahkan cara perangkat tersebut membangkitkan seed phrase. Saat itu, Guillemet menyebut insiden tersebut sebagai peringatan bagi seluruh industri, menegaskan bahwa model keamanan dompet keras sangat bergantung pada kualitas randomness yang dihasilkannya.
Baca Selanjutnya: Bisakah Solana Bertahan di $105? Voting Validator yang Menutup Epoch Bisa Menentukan
