Sebanyak 39.798 pelanggan pembuat dompet perangkat keras SafePal kini harus menghadapi ancaman dari sumber yang tidak terduga. Pada 16 Agustus 2026, perusahaan mengungkap terjadinya kebocoran data pengguna akibat cacat otorisasi pada sebuah plugin pelacak pesanan.
Celah keamanan ini membuka akses ke data pelanggan yang masuk antara 2 Maret 2025 hingga 11 April 2026. Informasi yang jatuh ke tangan peretas mencakup nama lengkap, alamat email, alamat pengiriman fisik, nomor telepon, hingga detail pembelian. Meski begitu, aset kripto pengguna dipastikan tidak tersentuh. SafePal menegaskan bahwa informasi krusial seperti seed phrase, private key, kata sandi dompet, nomor kartu pembayaran, maupun rekening bank tetap aman dari kebocoran ini.
Tumpang Tindih Error Sistem
Skala kebocoran yang menyentuh puluhan ribu pengguna ini ikut diperparah oleh kegagalan sistem internal lainnya. Menurut perusahaan, proses pembersihan data terjadwal mereka sempat berhenti bekerja akibat adanya error konfigurasi yang membentang dari September 2025 hingga April 2026.
Data pelanggan yang seharusnya rutin dihapus justru terus menumpuk di dalam sistem pelacak pesanan. Penumpukan keliru inilah yang memperluas rentang waktu dan menjerat lebih banyak korban ketika peretas mengeksploitasi cacat otorisasi plugin. Merespons kelemahan ini, SafePal kini memotong masa simpan data pesanan menjadi maksimal 90 hari dan menyewa firma keamanan pihak ketiga independen untuk memvalidasi setiap perbaikan jaringan mereka.
Laporan yang Awalnya Diabaikan
Bagian yang menonjol dari kebocoran data ini adalah lambatnya respons perusahaan. SafePal sebenarnya sudah menerima laporan awal dari pengguna mengenai serangan phishing terkait insiden ini sejak awal Mei 2026. Alih-alih mengecek celah sistem, mereka awalnya hanya menganggap laporan ini sebagai kasus phishing terisolasi yang dialami pengguna sendiri.
๐ Baca JugaDefiLlama Tahan Peluncuran Aplikasi Berbulan-bulan - Apple Baru Hapus Kloning Phishing Setelah Dompet Terkuras
Investigasi formal internal baru dimulai pada Juli 2026. Langkah ini diambil setelah laporan eskalasi pengguna terus bertambah, yang akhirnya berujung pada konfirmasi adanya cacat kritis pada plugin pelacak pesanan.
Meski SafePal telah mengidentifikasi dan menurunkan lebih dari 30 situs phishing serta tautan penipuan yang berkaitan dengan kebocoran ini, ancaman sesungguhnya masih mengintai. Dengan bekal nama asli, alamat rumah, dan riwayat pesanan akurat, penyerang bisa melancarkan aksi phishing yang jauh lebih meyakinkan. Bagi pengguna yang telanjur memasukkan seed phrase ke situs mencurigakan mana pun akhir-akhir ini, peringatannya jelas: perlakukan dompet itu sebagai sudah dikompromikan dan segera pindahkan sisa aset ke dompet baru sebelum terlambat.
Dilansir dari crypto.news.
Disclaimer: Artikel ini bersifat informatif dan edukatif, bukan nasihat keuangan. Aset kripto sangat fluktuatif dan berisiko tinggi. Selalu lakukan riset mandiri (DYOR) dan jangan berinvestasi melebihi kemampuanmu menanggung kerugian.
