- Akses tidak sah di Global-e mengekspos nama dan detail kontak pelanggan Ledger.
- Ledger menegaskan bahwa frasa pemulihan dana atau private key dompet tidak diakses.
- Pakar keamanan memperingatkan bahwa data kontak yang bocor meningkatkan risiko phishing dan penipuan.
Pembuat hardware wallet Ledger sedang menghadapi insiden kebocoran data baru setelah terjadi akses tidak sah di dalam sistem prosesor pembayaran pihak ketiga mereka, Global-e. Insiden ini melibatkan detail pribadi pelanggan seperti nama dan informasi kontak yang diambil dari infrastruktur cloud milik Global-e. Tidak ada indikasi bahwa dana di dompet, private key, atau frasa pemulihan pernah dikompromikan pada titik mana pun.
Global-e memberi tahu pelanggan yang terdampak melalui email, menyatakan bahwa mereka mendeteksi aktivitas tidak biasa di sebagian lingkungan cloud-nya dan melakukan investigasi. Pesan tersebut tidak mengungkapkan berapa banyak pelanggan Ledger yang terdampak atau waktu pasti terjadinya eksploitasi. Notifikasi ini pertama kali beredar di publik setelah dibagikan oleh peneliti blockchain ZachXBT di X.
Ledger mengonfirmasi insiden tersebut, menyatakan bahwa pelanggaran terjadi sepenuhnya dalam sistem milik Global-e. Perusahaan mengatakan Global-e bertindak sebagai pengendali data dan karenanya mengirimkan pemberitahuan kepada pelanggan.
Pelanggaran Pihak Ketiga Dikonfirmasi oleh Global-e
Global-e mengatakan bahwa pihaknya mengidentifikasi aktivitas tidak wajar dan dengan cepat menerapkan kontrol keamanan untuk menahan masalah tersebut. Perusahaan kemudian melibatkan spesialis forensik eksternal untuk meninjau insiden secara detail.
Peninjauan tersebut mengonfirmasi akses yang tidak benar ke sejumlah terbatas data pribadi pelanggan.
Dalam emailnya, Global-e memberi tahu pelanggan, “Kami menunjuk ahli forensik independen untuk melakukan investigasi atas insiden ini.” Mereka menambahkan bahwa penyelidik mengonfirmasi “beberapa data pribadi, termasuk nama dan informasi kontak, telah diakses secara tidak sah.” Pernyataan tersebut tidak menyebutkan detail pembayaran atau kredensial autentikasi.
Ledger kemudian menggemakan temuan tersebut. Perusahaan mengatakan akses tidak sah tersebut mempengaruhi data pesanan yang disimpan dalam sistem informasi Global-e. Ledger menegaskan kembali bahwa insiden ini tidak menyentuh infrastruktur internal, perangkat, atau aplikasi mereka.
Tanggapan Ledger dan Cakupan Keamanan
Ledger menekankan bahwa produk self-custodial mereka tetap tidak terpengaruh oleh insiden ini.
Perusahaan memperjelas bahwa Global-e tidak dapat mengakses frasa pemulihan, saldo dompet, atau rahasia aset digital. Ledger mengatakan sistem perangkat keras dan perangkat lunaknya tetap beroperasi secara normal.
“Ini bukan pelanggaran terhadap platform, perangkat keras, atau sistem perangkat lunak Ledger,” kata perusahaan.
Mereka menambahkan bahwa Global-e hanya memproses informasi pembelian dan pesanan bagi pelanggan yang membeli melalui Ledger.com. Saluran media sosial Ledger saat ini tidak mencantumkan insiden keamanan aktif.
Perusahaan juga menjelaskan mengapa Global-e menghubungi pelanggan secara langsung. Ledger mengatakan Global-e mengendalikan data yang terdampak dan oleh karena itu bertanggung jawab atas pemberitahuan pelanggaran. Hingga artikel ini diterbitkan, belum ada estimasi jumlah pelanggan yang terdampak dari kedua perusahaan.
Terkait: CTO Ledger Memperingatkan Pemegang Dompet Setelah Akun NPM Diretas
Riwayat Pelanggaran dan Risiko yang Berlanjut
Insiden ini mengikuti beberapa kejadian keamanan sebelumnya yang melibatkan Ledger. Pada Juni 2020, API pihak ketiga yang salah konfigurasi mengekspos data pemasaran dan e-commerce. Pelanggaran tersebut membocorkan sekitar satu juta alamat email dan data kontak detail untuk 9.500 pelanggan.
Pada tahun 2023, penyerang mengeksploitasi library perangkat lunak yang telah dikompromikan terkait Ledger. Serangan tersebut menguras antara $484.000 hingga $600.000 dalam bentuk cryptocurrency hanya dalam lima jam. Aplikasi yang terdampak termasuk SushiSwap, Zapper, MetalSwap, dan Harvest Finance.
ZachXBT kemudian menyarankan pelanggan untuk menggunakan informasi kontak minimal atau alternatif saat membeli hardware wallet. Pendekatan ini bertujuan untuk mengurangi efektivitas phishing yang ditargetkan jika database terekspos. Pakar keamanan terus memperingatkan bahwa data kontak yang bocor dapat memicu serangan rekayasa sosial bahkan tanpa akses ke dompet.
