Pada 14 Desember 2023, perusahaan dompet perangkat keras Ledger menderita salah satu serangan paling canggih secara teknis dalam kripto — kompromi rantai pasokan yang menargetkan paket npm open-source @ledgerhq/connect-kit-nya, di mana penyerang menyuntikkan kode JavaScript berbahaya yang bertindak sebagai skrip penguras alamat pada frontend DeFi mana pun yang memanggil pustaka tersebut, mengarahkan diam-diam transaksi pengguna ke dompet penyerang, menguras sekitar $600.000 dalam aset dalam waktu kurang dari dua jam sebelum Ledger menerapkan perbaikan.

Apa itu Ledger ConnectKit?

ConnectKit adalah pustaka JavaScript open-source yang digunakan protokol DeFi dan dApp untuk menampilkan UI “Hubungkan Dompet” — modal yang memungkinkan pengguna memilih Ledger, MetaMask, Rainbow, WalletConnect, dan opsi dompet lainnya saat berinteraksi dengan frontend DeFi. Diimpor secara luas oleh ratusan aplikasi web3 melalui registri paket npm.

Cara Serangan Terjadi

1. Rekayasa sosial — phishing mantan karyawan — Mantan karyawan Ledger menjadi korban serangan phishing, mengkompromikan kredensial akun npm mereka
2. Unggahan paket berbahaya — Penyerang menggunakan kredensial tersebut untuk menerbitkan versi berbahaya dari @ledgerhq/connect-kit ke npm (versi 1.1.5, 1.1.6, dan 1.1.7)
3. Payload — Kode berbahaya menyertakan drainer kripto — saat pengguna menghubungkan dompet melalui frontend yang dikompromikan, alamat kontrak legitimate digantikan dengan alamat yang dikendalikan penyerang
4. Jendela eksekusi — Dari sekitar 09:44 pagi UTC hingga 12:35 siang UTC (~2 jam 50 menit) sebelum Ledger menerapkan versi bersih (1.1.8)

Platform yang Terpengaruh

Setiap dApp yang menggunakan @ledgerhq/connect-kit dengan paket yang dimuat CDN selama jendela serangan terpengaruh. Terkonfirmasi terpengaruh: Zapper, SushiSwap, Revoke.cash, Balancer, dan beberapa protokol kecil lainnya.

Protokol yang me-hard-pin paket berversi tertentu dan mem-bundle-nya (tidak ada CDN langsung) TIDAK terpengaruh.

Kerusakan

• ~$600.000 diuras dari pengguna yang berinteraksi dengan frontend yang dikompromikan
• Tether membekukan porsi USDT dari dana yang dicuri ($44.000) dalam hitungan jam
• Ledger menawarkan untuk mengganti rugi pengguna yang terdampak

Pelajaran Utama

1. Dompet perangkat keras tidak melindungi dari frontend berbahaya — Ledger yang menandatangani transaksi yang dimulai oleh dApp berbahaya tidak memberikan perlindungan
2. Serangan rantai pasokan memiliki leverage tinggi — Satu akun npm yang dikompromikan → ratusan frontend yang rentan
3. JS yang dimuat CDN adalah risiko — Protokol yang secara dinamis memuat JS eksternal terekspos pada vektor serangan ini

Respons Ledger

Ledger menerbitkan post-mortem, menawarkan penggantian rugi kepada pengguna yang terdampak (dalam token LDG), dan menerapkan kontrol akses npm yang ditingkatkan.

Kritik

Insiden ini mengekspos bahwa bahkan pengguna dompet perangkat keras tidak aman terhadap serangan rantai pasokan di lapisan frontend. Kerentanan bukanlah pada perangkat keras Ledger itu sendiri, tetapi pada pustaka JavaScript yang digunakan dApp.

Sentimen Media Sosial

Di komunitas kripto Indonesia, serangan Ledger ConnectKit diingat sebagai pengingat tentang risiko rantai pasokan dalam DeFi dan pentingnya verifikasi URL dApp serta manajemen persetujuan token.

Terakhir diperbarui: 2026-04

Istilah Terkait

• Ledger Wallet
• Cold Storage
• Token Approval
• Supply Chain Attack

Lihat Juga

• Mengapa Audit Smart Contract Gagal
• Jembatan Kripto Keamanan Hack
• Tukar kripto dengan ChangeNOW

Sumber

• Ledger Post-Mortem (Desember 2023). “Technical Update on the December 14 Exploit.” Ledger Blog (https://ledger.com/blog).
• npm Security (2023). “Security Incident: @ledgerhq/connect-kit.” GitHub Advisory Database.
• Trail of Bits (2024). “Supply Chain Attacks in Web3: Lessons from ConnectKit.” Trail of Bits Blog.