Pencurian di Keystone meluas hingga ke pengaman perangkat: peretas tidak hanya mengambil data pelanggan, melainkan juga mencuri kunci autentikasi internal yang dipakai untuk memverifikasi keaslian dompet keras buatan pabrikan ini.
Kunci curian itu membuka risiko peredaran produk palsu. Berbekal kunci itu, penyerang bisa memproduksi dompet tiruan yang lolos pemeriksaan keaslian sistem Keystone. Jika perangkat tiruan dikirim ke pembeli yang menggunakannya sebagai produk orisinal, saldo kripto di dalamnya berisiko hilang.
Keystone berencana memusnahkan 18.835 perangkat dari inventaris gudang yang memuat kunci yang telah dikompromikan itu. Perusahaan juga menangguhkan pengiriman semua unit yang memakai kunci lama. Pengiriman baru akan dilanjutkan sesudah Keystone memproduksi perangkat dengan kunci autentikasi baru.
Batas Aman Sebelum 20 Oktober
Waktu perakitan dan pengiriman menjadi penentu status keamanan bagi pengguna. Keystone menyatakan unit yang diproduksi dan dikirim sebelum insiden 20 Oktober 2026 berstatus aman, serta pemeriksaan keasliannya tetap dapat dipercaya. Sebaliknya, Keystone tidak dapat menjamin keaslian perangkat yang dikirim setelah tanggal 20 Oktober. Pembeli yang menerima pengiriman setelah tanggal itu diminta segera menghubungi tim dukungan resmi.
Alat Monitoring Pihak Ketiga Jadi Pintu Masuk
Penyerang membobol sistem dengan mengeksploitasi celah keamanan pada alat monitoring pihak ketiga yang digunakan situs web Keystone untuk menaikkan hak akses. Langkah itu membuka pintu bagi penyerang menuju toko daring Keystone di platform Shopify.
Dari 51.083 rekaman pembeli di toko Shopify, peretas mencuri 25.964 data pembeli dari rentang tahun 2024 hingga 2026. Sebanyak 25.119 rekaman lain sudah terhapus sesuai kebijakan retensi 180 hari, tetapi rekaman lama dua tahun terakhir belum terhapus akibat kegagalan pada alat otomatis. Penyerang juga mencuri 12.873 rekaman proses transaksi yang belum diselesaikan pembeli di tahap checkout.
Insiden Serupa Menimpa Produsen Lain
Keystone bukan satu-satunya produsen dompet keras yang menghadapi persoalan keamanan sepanjang 2026. Ledger meminta mitra penjual di Asia Tenggara dan Hong Kong menghentikan penjualan setelah muncul laporan perangkat berisi implan tidak sah. Coldcard dan Coinkite memperingatkan temuan bug entropi pada Juli 2026. Trezor mengalami pembobolan mitra pengiriman pada Agustus 2026 yang mengekspos data lebih dari 80.000 pengguna, sementara SafePal dan BitBox turut terdampak insiden serupa tahun ini.
📌 Baca JugaPerangkat Passport Diklaim Aman, tapi Email Phishing Meluncur dari Domain Resmi Foundation
Bagi pemilik dompet kripto, rentetan insiden ini memperlihatkan bahwa risiko keamanan perangkat keras bisa muncul jauh sebelum alat sampai ke tangan pembeli. Pengguna yang menerima kiriman Keystone setelah 20 Oktober perlu memeriksa status unit mereka ke tim dukungan sebelum memindahkan aset apa pun ke dalamnya.
Dilansir dari Cointelegraph.
Sebelumnya: Kunci Kripto Keystone Tak Tersentuh - Tapi Alamat Rumah Pembeli Jatuh ke Penyerang
Disclaimer: Artikel ini bersifat informatif dan edukatif, bukan nasihat keuangan. Aset kripto sangat fluktuatif dan berisiko tinggi. Selalu lakukan riset mandiri (DYOR) dan jangan berinvestasi melebihi kemampuanmu menanggung kerugian.
