Sejak awal 2026, enam jenama dompet perkakasan telah mendedahkan isu keselamatan. Kes yang diketahui menyebabkan kerugian aset kripto melibatkan Coldcard dan seorang pengedar Ledger. Insiden terbaharu dikaitkan dengan peranti yang dipercayai telah diusik sebelum dihantar kepada pembeli. Laporan menyebut peranti Ledger berkenaan mungkin telah tersebar ke pasaran di luar Asia Tenggara, tetapi skop sebenar dan jumlah pengguna terjejas belum dipastikan. Bagi pengguna yang menyimpan aset secara luar talian, risiko boleh timbul bukan sahaja daripada peranti, malah daripada proses penjanaan kunci, rantaian bekalan dan pengurusan data pelanggan.
Kelemahan penjanaan kunci Coldcard dikaitkan dengan kerugian
Pada 30 Julai, pencuri mula memindahkan aset daripada sebahagian dompet Coldcard. Isu itu dikaitkan dengan tahap rawak yang tidak mencukupi ketika kunci dijana. Galaxy Research kemudian menganggarkan kerugian berkaitan Coldcard melebihi AS$115 juta. Kes ini menunjukkan bahawa keselamatan aset masih boleh terjejas jika mekanisme penjanaan kunci bermasalah, walaupun kunci peribadi dijana oleh dompet perkakasan.
Serangan laser memerlukan akses fizikal dan peralatan khusus
Pada Jun, pasukan keselamatan dalaman Ledger menguji serangan laser terhadap cip Trezor Safe 7. Ujian serupa terhadap kad Tangem dijalankan pada Julai. Kedua-dua serangan memerlukan akses kepada peranti fizikal serta peralatan makmal khusus.
Trezor menyatakan dana pengguna tidak terjejas. Tangem pula berkata risiko kepada pengguna biasa “hampir tiada” dan menyatakan penyelidik yang menjalankan kajian itu berasal daripada pesaing.
BitBox baiki pepijat perisian tegar, tiada kecurian dilaporkan
Pada Ogos, BitBox membaiki beberapa kelemahan dalam perisian tegar. Jurutera syarikat menyifatkannya sebagai isu serius, namun BitBox tidak melaporkan sebarang kecurian dana akibat kelemahan tersebut.
Perbezaan antara kes BitBox dan Coldcard menunjukkan bahawa kewujudan kelemahan tidak semestinya bermakna aset telah hilang. Sama ada kelemahan itu telah dieksploitasi dan sama ada penyerang perlu mendapatkan peranti secara fizikal turut mempengaruhi tahap risiko sebenar.
Kebocoran data pelanggan berbeza daripada peranti yang diusik
Beberapa insiden lain menjejaskan maklumat peribadi pengguna, bukan kunci dompet secara langsung. Rakan kongsi penghantaran Trezor membocorkan data 13,689 pembeli, manakala kebocoran data SafePal melibatkan hampir 40,000 alamat rumah. Pendedahan alamat boleh menimbulkan risiko privasi dan keselamatan susulan, tetapi maklumat yang tersedia tidak menunjukkan insiden tersebut menyebabkan aset kripto pengguna dicuri secara langsung.
Kes berkaitan Ledger pula tertumpu pada rantaian bekalan: peranti dipercayai telah diusik sebelum tiba kepada pembeli. Maklumat yang ada belum menjelaskan jumlah peranti terjejas, butiran saluran jualan atau destinasi khusus di luar Asia Tenggara.
Setakat ini, enam jenama diketahui telah mendedahkan isu keselamatan pada 2026, sementara kes kerugian aset kripto yang dikenal pasti melibatkan Coldcard dan seorang pengedar Ledger. Skop penyebaran peranti Ledger yang disyaki diusik masih belum diperincikan.