Ledger Perbaiki Celah di Aplikasi Ethereum: Tanda Tangan Transaksi Bisa "Tertukar", Perbarui ke Versi 1.22.2

Pemilik Ledger yang memakai perangkatnya untuk menyimpan Ether atau token ERC20 disarankan segera membuka Ledger Live dan memeriksa versi aplikasi Ethereum di perangkat. Versi di bawah 1.22.2 belum memuat perbaikan keamanan penting. Celah ini mengganggu inti janji hardware wallet: apa yang tampil di layar seharusnya sama dengan yang akan ditandatangani. Kasus ini mencuat ke publik pada 24 Agustus 2026 setelah firma keamanan TestMachine merilis analisisnya. Perbaikan disebut sudah ada sebelum tanggal tersebut. Di antara keduanya muncul perdebatan soal siapa yang menemukan lebih dulu dan kapan Ledger merilis perbaikannya. Bagi pengguna, yang utama bukan perdebatan itu, melainkan dua hal: versi aplikasi Ethereum di perangkat dan izin (approval) apa saja yang pernah diberikan sebelumnya. Apa yang sebenarnya terjadi pada celah aplikasi Ethereum Ledger Celahnya tidak mengenai firmware perangkat dan tidak membuat private key terekspos. Masalah berada di aplikasi Ethereum, yakni aplikasi tambahan di perangkat Ledger yang menangani transaksi Ether dan ERC20: menyiapkan transaksi, menampilkan detailnya, lalu menunggu konfirmasi. Pada versi bermasalah, urutan ini dapat "diacak". Aplikasi web berbahaya yang memiliki akses ke perangkat yang terhubung dapat mengirim perintah penandatanganan kedua saat transaksi pertama masih tampil di layar menunggu ditinjau. Aplikasi kemudian menukar data transaksi di memori tanpa memunculkan layar peninjauan baru. Yang terlihat tetap transaksi "aman" yang baru saja Anda cek, tetapi konfirmasi Anda justru berlaku untuk data yang sudah ditukar. Peneliti menyatakan pola ini dapat direproduksi pada Ledger Flex. Karena banyak perangkat berbagi basis kode aplikasi Ethereum, Nano X, Nano S Plus, Stax, dan Apex juga dinilai berpotensi terdampak. Ledger tidak mengungkap versi aplikasi pertama yang memuat bug; perbandingan peneliti dimulai dari 1.22.1, versi bertanda tanggal 27 Mei 2026. Mengapa "clear signing" adalah janji keamanan yang paling penting Clear signing berarti data transaksi ditampilkan lengkap dalam bentuk yang bisa dibaca di layar hardware wallet sebelum Anda menekan tombol konfirmasi: alamat tujuan, jumlah, dan untuk pemanggilan kontrak, aksi yang akan dieksekusi kontrak. Inilah alasan hardware wallet digunakan. Komputer bisa terinfeksi, browser bisa menampilkan antarmuka yang dimanipulasi, situs bisa palsu. Selama perangkat di tangan Anda punya layar sendiri yang independen dari komputer dan menampilkan data sebenarnya, manipulasi semestinya terlihat sebelum Anda menyetujui. Private key tidak keluar dari perangkat karena perangkat menandatangani sendiri. Celah ini tepat menyerang titik tersebut: private key tetap aman dan firmware tidak tersentuh, tetapi persetujuan yang terjadi bisa berbeda dari yang Anda baca. Jika layar tidak lagi bisa dianggap mengikat, pada aspek ini hardware wallet menjadi tidak jauh berbeda dari software wallet di mesin yang terinfeksi. Inti teknis: race condition dan perintah APDU Race condition adalah bug ketika hasilnya bergantung pada perintah mana yang diproses lebih dulu dari dua perintah yang datang hampir bersamaan. Bug semacam ini sulit dideteksi karena alur tampak benar pada sebagian besar kondisi, lalu muncul saat urutan sengaja "direkayasa". APDU adalah format perintah yang dipakai smart card dan hardware wallet untuk berkomunikasi dengan komputer. Proses penandatanganan terdiri dari beberapa perintah semacam ini. Aplikasi Ethereum menyimpan status transaksi yang sedang ditinjau, dan status ini bisa tertimpa saat peninjauan masih berlangsung. Dua perintah masuk bersamaan, status menjadi tidak tegas: itulah race condition. Peran WebHID di browser: mengapa situs bisa bicara langsung ke perangkat WebHID adalah antarmuka browser yang memungkinkan situs berkomunikasi langsung dengan perangkat USB setelah Anda memberikan izin secara eksplisit. Tanpa WebHID, penggunaan hardware wallet di aplikasi terdesentralisasi menjadi kurang praktis; dengan WebHID, situs bisa berada lebih dekat ke perangkat daripada yang disadari banyak pengguna. Serangan yang dijelaskan memerlukan kondisi: Anda sudah pernah memberi akses ke situs yang dimanipulasi atau diambil alih, lalu Anda memulai transaksi di sana. Serangan tidak bisa dilakukan jarak jauh terhadap perangkat yang tidak sedang terhubung. Dampaknya jadi lebih terbatas, tetapi tetap relevan bagi pengguna yang rutin memakai DEX, bridge, atau antarmuka staking karena izin ini kerap diberikan. Mengapa yang paling berbahaya justru "token approval" tanpa batas Kerugian pada skenario pertukaran semacam ini biasanya bukan berasal dari transfer itu sendiri, melainkan dari apa yang bisa disisipkan sebagai pengganti. Token approval adalah izin kepada smart contract untuk membelanjakan sejumlah token Anda di masa depan tanpa konfirmasi per debit. Demi kenyamanan, banyak aplikasi meminta izin tanpa batas (unlimited). Approval yang sudah diberikan tidak kedaluwarsa dan tetap aktif sampai Anda mencabutnya. Perbedaan transfer vs approval Transfer hanya mengurangi saldo sebesar yang Anda setujui. Unlimited approval berpotensi menghabiskan seluruh saldo token terkait, kapan pun pihak penerima mengeksekusinya. Itu sebabnya mengganti transfer kecil menjadi approval luas adalah target serangan yang sangat "menguntungkan" pada jalur penandatanganan. Perbarui aplikasi Ethereum ke 1.22.2 lewat Ledger Live Versi 1.22.2 menutup jalur serangan tersebut dengan dua mekanisme: aplikasi menolak sesi penandatanganan baru ketika peninjauan masih berlangsung, dan aplikasi menolak konfirmasi masuk jika status tidak lagi cocok dengan yang ditampilkan. Catatan versi 1.22.2 tercantum di ringkasan rilis aplikasi Ethereum milik Ledger, tetapi hanya menyebut "isu keamanan telah diperbaiki" tanpa menguraikan celahnya. Proses pembaruan sederhana: hubungkan perangkat, buka manager aplikasi terpasang di Ledger Live, lalu perbarui aplikasi Ethereum. Saldo tidak terpengaruh, karena kunci diturunkan dari recovery phrase dan tidak tersimpan di aplikasi. Menghapus lalu memasang ulang aplikasi juga tidak menghilangkan aset. Cara memastikan versi yang terpasang Ledger Live menampilkan nomor versi setiap aplikasi di device manager. Jika tertulis 1.22.2 atau lebih baru, perbaikan sudah ada. Jika 1.22.1 atau lebih lama, perangkat belum terlindungi. Memeriksa versi Ledger Live saja tidak cukup. Mengapa update firmware tidak otomatis memperbarui aplikasi Ethereum Firmware, Ledger Live, dan aplikasi koin dipelihara serta diperbarui secara terpisah. Pengguna yang sudah memperbarui firmware bisa saja masih memakai aplikasi Ethereum lama. Pemisahan ini juga menjelaskan mengapa laporan keamanan dompet sering "saling tidak nyambung": ada kasus yang bermasalah di seed, ada yang di firmware, sementara kasus ini ada satu tingkat di atasnya, pada aplikasi yang bisa diganti. Dalam kasus ini, Anda tidak perlu membuat recovery phrase baru. Langkah kedua setelah update: cek dan cabut token approval lama Pembaruan melindungi tanda tangan ke depan, tetapi tidak membatalkan izin yang sudah terlanjur diberikan. Jika Anda banyak berinteraksi dengan dApp dalam beberapa bulan terakhir, ada baiknya mengecek approval yang masih terbuka pada alamat Anda. Block explorer dan antarmuka khusus dapat menampilkan kontrak mana yang punya izin mengelola token apa. Izin untuk kontrak yang tidak lagi dipakai bisa dicabut satu per satu. Pencabutan adalah transaksi biasa dan memerlukan biaya jaringan, sehingga paling efisien dilakukan saat biaya sedang rendah. Satu efek samping yang sering terlupakan: setiap pencabutan muncul di riwayat transaksi dan menimbulkan biaya. Pengguna yang mendokumentasikan pergerakan dana dengan rapi biasanya lebih mudah saat pelaporan pajak; alat pajak dan portofolio umumnya dapat menarik data peristiwa ini secara otomatis. Perbedaan versi cerita antara Ledger dan TestMachine Ada dua kronologi yang saling bertentangan dan keduanya belum terverifikasi independen. CTO Ledger, Charles Guillemet, menyatakan tim keamanan internal Ledger Donjon menemukan bug tersebut, dan perbaikan sudah dirilis sekitar dua minggu sebelum publikasi analisis. Ia mengatakan TestMachine baru menghubungi program bug bounty setelah itu dan menilai pernyataan firma keamanan tersebut bertujuan menimbulkan ketakutan untuk menarik perhatian. TestMachine menyatakan sistem pengujiannya, Azimuth, menemukan kelemahan saat pengujian otomatis pada Ledger Flex dan hasilnya dibagikan kepada Ledger. Menurut TestMachine, saat mereka mempublikasikan analisis, perbaikan belum tersedia. Fakta yang dapat dicek berada di tengah: changelog versi 1.22.2 bertanggal 12 Agustus 2026, tag yang ditandatangani di repositori sumber bertanggal 13 Agustus. Rilis itu baru tampak sebagai rilis publik sekitar 24 Agustus, berbarengan dengan analisis TestMachine. Pengguna yang ingin memeriksa lebih awal apakah sudah ada perbaikan tidak akan menemukannya pada rilis publik saat itu. Rekonstruksi teknis beserta tanggal-tanggal ini dihimpun oleh CryptoSlate. Apakah ada dana yang hilang? Berdasarkan informasi dari kedua pihak, belum ada kasus terkonfirmasi bahwa celah ini benar-benar dieksploitasi. Tidak ada kerugian yang terdokumentasi, dan metode ini tidak memungkinkan pembacaan private key. Catatannya: tanda tangan yang diperoleh lewat skenario ini akan terlihat di blockchain seperti tanda tangan sukarela biasa. Korban kemungkinan baru menyadari saat token kemudian mengalir keluar, lalu mengira itu phishing umum. Karena itu, ketiadaan kasus terkonfirmasi tidak bisa dijadikan kepastian bahwa tidak ada kejadian. Pelajaran bagi hardware wallet dan self-custody Kesimpulan yang tepat bukan menolak hardware wallet. Serangan memerlukan akses perangkat yang sudah diberikan serta aplikasi berbahaya, private key tetap aman, dan celah telah diperbaiki. Pelajaran utamanya: hardware wallet memindahkan titik kepercayaan dari komputer ke perangkat kecil dengan layar, tetapi sistemnya terdiri dari firmware, aplikasi, dan perangkat lunak pendamping yang diperbarui terpisah. Keamanan bukan kondisi yang otomatis Anda miliki setelah membeli, melainkan pemeliharaan rutin: memperbarui aplikasi, merapikan approval, dan untuk aset besar menambah lapisan konfirmasi kedua. Ringkasan tindakan untuk pemilik Ledger 1) Cek versi aplikasi Ethereum dan perbarui. Buka device manager di Ledger Live dan pastikan aplikasi Ethereum minimal 1.22.2. Update firmware saja tidak cukup. 2) Bersihkan token approval yang masih terbuka. Tinjau kontrak yang punya izin atas token Anda dan cabut yang tidak diperlukan. 3) Dokumentasikan perubahan. Pencabutan dan pemindahan dana menimbulkan biaya dan tercatat di riwayat; catat sejak awal agar memudahkan pelaporan pajak. (Per 25 Agustus 2026. Artikel ini bukan nasihat investasi. Harga dan struktur biaya dapat berubah; periksa ketentuan dengan penyedia sebelum membeli.)