Produsen dompet hardware kripto Keystone mengonfirmasi pembobolan pada website resminya yang membuat nama hingga alamat rumah pelanggan jatuh ke tangan penyerang. Insiden ini pertama kali terdeteksi pada 20 Oktober 2026 dan baru terkonfirmasi tiga hari kemudian, tepatnya 23 Oktober, seusai manajemen memeriksa aktivitas antarmuka pemrograman aplikasi (API) dengan Shopify.
Bagi pemilik aset kripto, bocornya informasi fisik sering kali menghadirkan risiko yang jauh berbeda dibanding pencurian data digital biasa.
Kunci Privat Utuh, Lokasi Rumah Terbuka
Daftar informasi yang terambil mencakup nama pemesan, alamat pengiriman rumah, rincian produk yang dibeli, serta nominal harga transaksi. Di sisi lain, Keystone memastikan data paling sensitif tidak ikut tersentuh: informasi kartu pembayaran, detail rekening bank, frasa pemulihan (recovery phrase), kunci privat, maupun kata sandi dompet dipastikan tetap terlindungi.
Pihak Keystone langsung memblokir akses liar, menambal celah keamanan, membuka investigasi internal, dan mulai mengirim pemberitahuan lewat email kepada pelanggan terdampak. Meski begitu, perusahaan belum mengungkap identitas penyerang, total pembeli yang menjadi korban, atau tanggal pasti kapan penyusupan awal terjadi.
Penyelidikan saat ini masih meneliti aktivitas Shopify API. Keystone belum memastikan apakah platform Shopify sendiri yang dibobol, atau sekadar kredensial izin API milik toko mereka yang disalahgunakan pihak luar.
Bahaya Nyata di Balik Alamat Pengiriman
Kekhawatiran terbesar dari insiden ini bukan pengurasan saldo lewat peretasan kode, melainkan risiko kekerasan fisik di dunia nyata. Penjahat bisa memanfaatkan kombinasi nama dan alamat rumah untuk melancarkan apa yang di kalangan kripto dikenal sebagai wrench attack - tindakan mendatangi korban ke rumah lalu memaksanya menyerahkan aset melalui ancaman atau kekerasan.
Pengembang keamanan Taylor Monahan, yang akrab disapa Tay, memperingatkan bahwa terbukanya alamat kirim pembeli dompet perangkat keras bisa menghadapkan korban pada bahaya fisik nyata, termasuk perampokan hingga penculikan. Mengetahui seseorang membeli dompet perangkat keras memberi sinyal langsung kepada pelaku bahwa korban menyimpan aset bernilai.
Selain ancaman fisik, Keystone meminta pengguna mewaspadai gelombang rekayasa sosial lewat email, telepon, pesan singkat, hingga surat fisik palsu. Modus penipuan ini kerap menyamar atas nama Keystone dengan menawarkan pengembalian dana palsu, perangkat pengganti, atau permintaan verifikasi alamat pengiriman. Perusahaan menegaskan pemilik perangkat pantang membagikan frasa pemulihan maupun memasukkan kunci privat ke perangkat yang tidak pernah mereka pesan.
📌 Baca JugaNiat Menaikkan Biaya Malah Sahkan Pencurian Bitcoin - Electrum Rilis Patch Versi 4.8.3
Bayang-Bayang Kasus Serupa Tahun 2020
Peristiwa ini mengulang memori buruk kebocoran data Ledger pada Juli 2020. Waktu itu, peretas membobol basis data perdagangan elektronik Ledger lewat kunci API, yang berujung pada tereksposnya sekitar 1 juta alamat email dan informasi pribadi mendalam milik ribuan pelanggan, sebelum data itu akhirnya disebar luaskan ke publik pada Desember 2020.
Bagi pembeli Keystone yang merasa alamat rumahnya tersimpan di sistem toko, kewaspadaan kini harus digeser dari layar komputer ke pintu pagar rumah. Setiap paket kiriman tak dikenal, panggilan telepon mendesak, atau orang asing yang menanyakan kepemilikan kripto patut dicurigai sebagai buntut dari data yang bocor.
Dilansir dari crypto.news.
Baca juga: Niat Menaikkan Biaya Malah Sahkan Pencurian Bitcoin - Electrum Rilis Patch Versi 4.8.3
Disclaimer: Artikel ini bersifat informatif dan edukatif, bukan nasihat keuangan. Aset kripto sangat fluktuatif dan berisiko tinggi. Selalu lakukan riset mandiri (DYOR) dan jangan berinvestasi melebihi kemampuanmu menanggung kerugian.
