Penyerang menyusup ke sistem Foundation, produsen dompet perangkat keras Bitcoin Passport, setelah memperoleh kunci API Cloudflare milik perusahaan. Akses itu dipakai pelaku untuk mengirimkan email phishing langsung dari infrastruktur domain resmi Foundation, bukan dari alamat tiruan yang lazim dipakai penipu daring.
Pesan mencurigakan itu mulai terendus setelah sejumlah pelanggan menerima surat elektronik yang tampak otentik di kotak masuk mereka. Penampilan pesan yang meyakinkan sempat mengecoh karena sistem pengiriman benar-benar memanfaatkan domain asli perusahaan. Menyikapi kekhawatiran publik, Foundation memastikan bahwa perangkat Passport dan seluruh dana yang tersimpan di dalamnya berada dalam kondisi aman tanpa ada kompromi pada sisi perangkat keras.
Pembeda utama kasus ini terletak pada titik serang yang terjadi: masalah tidak menyentuh chip pengaman fisik, melainkan menjebol jalur komunikasi digital perusahaan ke para penggunanya.
Celah di Aplikasi Internal dan Penanganan Cepat
Zach Herbert, salah satu pendiri sekaligus CEO Foundation, mengonfirmasi bahwa penyerang mengeksploitasi kerentanan pada aplikasi mandiri (self-hosted) internal perusahaan. Lubang keamanan itu memberi jalan bagi pelaku untuk mengakses bagian backend sistem, termasuk potensi membuka arsip percakapan di kotak masuk layanan pelanggan.
Manajemen Foundation bergerak menutup celah tak lama setelah menerima laporan awal. Dalam kurun sepuluh menit setelah laporan pertama masuk dari pelanggan, tim teknis mencabut seluruh kunci API Cloudflare dan mematikan pengiriman pesan tidak sah. Namun, perusahaan belum mengumumkan berapa banyak email phishing yang sempat meluncur ke alamat para pengguna sebelum akses diputus.
Foundation juga belum membeberkan apakah ada pelanggan yang teperdaya oleh instruksi penipuan di dalam email, seperti memasukkan frasa pemulihan (seed phrase) ke situs jebakan. Penelusuran menyeluruh masih berjalan, dan pihak manajemen menjanjikan penerbitan laporan audit lengkap setelah investigasi internal selesai.
Potensi Bocornya Data Pribadi dan Riwayat di Industri
Kekhawatiran kini berpusat pada keselamatan data pribadi para pembeli. Herbert mengakui email penipuan berpotensi memuat nomor telepon dan alamat tempat tinggal pelanggan. Informasi sensitif itu diduga berasal dari rekaman pesan bantuan pelanggan, basis data kebocoran industri kripto masa lalu, atau riwayat pesanan lewat Shopify.
📌 Baca JugaZano Putar Balik Blockchain ke Block 3.833.000 Usai Gateway Dieksploitasi - Langkah Darurat yang Jarang Diambil
Pola serangan lewat rantai pasokan komunikasi semacam ini bukan hal baru bagi ekosistem penyimpanan mandiri Bitcoin. Pada September lalu, produsen dompet perangkat keras Trezor dan BitBox mencatatkan insiden serupa ketika para pelanggan mereka disasar email phishing akibat peretasan pada Brevo, penyedia layanan email pihak ketiga yang mereka gunakan.
Bagi pemilik Passport maupun penyimpan aset kripto mandiri, kejadian ini menjadi pengingat penting soal verifikasi. Alamat pengirim resmi dan pencantuman data alamat rumah yang tepat terbukti bukan jaminan keaslian instruksi. Perusahaan pembuat dompet tidak meminta frasa pemulihan melalui tautan web, dan permintaan semacam itu adalah tanda penipuan yang harus diabaikan.
Dilansir dari crypto.news.
Baca juga: Kunci Kripto Keystone Tak Tersentuh - Tapi Alamat Rumah Pembeli Jatuh ke Penyerang
Disclaimer: Artikel ini bersifat informatif dan edukatif, bukan nasihat keuangan. Aset kripto sangat fluktuatif dan berisiko tinggi. Selalu lakukan riset mandiri (DYOR) dan jangan berinvestasi melebihi kemampuanmu menanggung kerugian.
