Dua insiden kebocoran data terpisah menimpa pengguna dompet perangkat keras (hardware wallet) Trezor dan SafePal dalam waktu berdekatan. Akibat rentetan kejadian ini, data pribadi milik puluhan ribu pengguna terekspos, membuka jalan bagi potensi serangan phishing skala besar ke alamat kotak masuk dan kontak mereka.
Trezor melaporkan kebocoran pertama yang mengorbankan sekitar 14.000 penggunanya. Masalah ini tidak berasal dari sistem internal Trezor, melainkan lewat ShipMonk, penyedia layanan pengiriman pihak ketiga yang mereka gunakan. Pengguna Trezor yang masuk daftar terdampak adalah pelanggan penerima produk dari Amerika Serikat, Inggris, Swedia, Kolombia, Brasil, Italia, dan Portugal. Insiden ini spesifik menyasar mereka yang barangnya dikirim selama periode 10 Mei hingga 8 Agustus.
Sementara itu, dompet perangkat keras SafePal mengungkapkan masalah berbeda yang bersumber dari arsitektur platform mereka. Terdapat celah otorisasi pada plugin pelacak pesanan di sistem belanja internalnya. Kelemahan ini membuat satu pelanggan bisa melihat profil pesanan milik pelanggan lain. Dampaknya meluas: sebanyak 39.798 pelanggan yang memesan antara 2 Maret 2025 hingga 11 April 2026 dipastikan terkena imbas celah ini.
Data yang terekspos dari insiden SafePal meliputi nama, alamat fisik, detail kontak, dan keseluruhan informasi pembelian. Meski demikian, perusahaan menegaskan batas kebocoran berhenti di profil pengiriman. Seed phrase, kunci privat, dan simpanan aset kripto pengguna dipastikan tetap aman.
Tambal Celah dan Basmi Situs Penipuan
Merespons temuan ini, SafePal bergerak menutup celah otorisasi di plugin pelacak pesanan mereka untuk memutus akses berlebih. Perusahaan juga merekrut firma keamanan pihak ketiga guna memitigasi risiko, serta mengidentifikasi dan menghapus lebih dari 30 situs web penipuan beserta tautan phishing yang sengaja dibuat untuk memancing kelengahan pengguna.
Sebagai bentuk transparansi, SafePal merilis alat verifikasi di situs web resmi, memungkinkan pengguna mengecek langsung apakah data pribadinya ikut tersapu dalam insiden ini. Untuk mencegah kejadian berulang di masa mendatang, sistem pemrosesan pesanan perusahaan kini membatasi penyimpanan data pelanggan maksimal selama 90 hari.
๐ Baca JugaCelah Screen Sharing macOS Dieksploitasi - Hacker Retas Ribuan Komputer Apple untuk Tambang Monero
Kenapa Diversifikasi Dompet Menjadi Wajib
Insiden ganda ini berselang tak lama setelah kasus peretasan dompet perangkat keras Coldcard yang berujung pada hilangnya bitcoin senilai $120 juta. Rangkaian kebobolan ini memicu pakar keamanan mengingatkan kembali batas-batas teknologi penyimpanan: tidak ada satu pun solusi penyimpanan kripto yang sepenuhnya bebas dari risiko.
Karena itu, memecah aset ke dalam beberapa dompet berbeda kini menjadi langkah mutlak untuk mengurangi risiko kerugian. Bagi pengguna yang merasa terlanjur menyerahkan kunci privat atau seed phrase lewat tautan phishing, imbauannya hanya satu: segera evakuasi seluruh aset ke dompet baru sebelum peretas mengosongkan sisa saldo.
Dilansir dari CoinDesk.
Disclaimer: Artikel ini bersifat informatif dan edukatif, bukan nasihat keuangan. Aset kripto sangat fluktuatif dan berisiko tinggi. Selalu lakukan riset mandiri (DYOR) dan jangan berinvestasi melebihi kemampuanmu menanggung kerugian.
