Produsen dompet keras kripto SafePal melaporkan kebocoran data sekitar 39.798 pengguna. Perusahaan membicarakan insiden tersebut pada 16 Agustus, memperjelas bahwa nama pelanggan, alamat pengiriman, telepon, alamat email, dan detail pesanan telah jatuh ke tangan pihak ketiga.
Sementara itu, frase seed, kunci privat, kata sandi, detail perbankan, nomor kartu, dan dokumen tidak terpengaruh oleh kebocoran — SafePal sejak awal tidak mengumpulkan atau menyimpan informasi seperti itu. Tim proyek telah memeriksa sistem dan tidak menemukan tanda-tanda bahwa pelaku kejahatan mendapatkan akses ke dompet atau dana pengguna.
Bahaya Kebocoran bagi Pelanggan
Pengembang memperingatkan: bahkan tanpa akses ke aset kripto, data yang bocor memberikan dasar untuk serangan bertarget. Penipu dapat menelepon atau menghubungi pelanggan atas nama layanan dukungan, menawarkan “pengembalian dana”, meyakinkan untuk memperbarui firmware perangkat, atau mengirimkan tautan ke sumber daya phishing yang meniru situs SafePal.
Perusahaan telah memantau munculnya sumber daya palsu tersebut dan berusaha untuk memblokirnya. Pelanggan harus berhati-hati dengan segala bentuk komunikasi yang menyebutkan detail pesanan mereka — informasi inilah yang sekarang dapat digunakan untuk membuat pesan terlihat meyakinkan.
Kesalahan dalam Plugin Pelacakan Pesanan
Menurut SafePal, kebocoran terjadi karena kerentanan dalam plugin pelacakan pesanan yang terhubung dengan data pelanggan. Kesalahan otorisasi di dalamnya memungkinkan pengguna luar mendapatkan akses ke pesanan pelanggan lain — yaitu, melihat informasi orang lain di tempat yang seharusnya hanya menampilkan informasi sendiri.
Pada saat pernyataan diterbitkan, pengembang telah memperbaiki masalah tersebut dan meningkatkan langkah-langkah perlindungan sistem. Insiden ini mempengaruhi mereka yang melakukan pemesanan dalam periode dari 2 Maret 2025 hingga 11 April 2026. Kapan tepatnya pelaku kejahatan memanfaatkan kerentanan tersebut dan kapan tim proyek menemukannya, perusahaan tidak memberikan rincian lebih lanjut.
Langkah Selanjutnya SafePal
Saat ini, produsen sedang menyelidiki insiden tersebut bersama dengan perusahaan keamanan independen dan mempersiapkan audit seluruh sistem pemrosesan pesanan. Di antara langkah-langkah yang diambil adalah mengurangi masa simpan data dalam sistem yang terdampak menjadi 90 hari, memberi tahu mitra logistik dengan permintaan untuk memeriksa apakah masalah tersebut memengaruhi sistem mereka sendiri, memperbaiki kerentanan dalam plugin, dan meningkatkan kontrol akses ke data pelanggan.
Dengan demikian, kebocoran tidak membahayakan aset kripto pengguna SafePal, tetapi mengungkap cukup banyak data pribadi untuk mengorganisir skema penipuan melalui rekayasa sosial. Perusahaan menyatakan bahwa mereka akan terus memantau situasi dan melakukan investigasi bersama dengan ahli keamanan eksternal.
Pendapat AI
Analisis menunjukkan pola industri yang jelas: insiden dengan SafePal adalah kasus ketiga kebocoran data kontak pelanggan dompet keras dalam beberapa tahun terakhir, dan setiap kali pelaku kejahatan menggunakan skema yang sama — mengirimkan email phishing atas nama dukungan. Kisah serupa terjadi dengan Ledger pada tahun 2020, ketika data satu juta pelanggan bocor, dan korban kemudian diganggu oleh pengiriman penipuan selama berbulan-bulan, termasuk perangkat palsu melalui pos. Baru-baru ini, Trezor juga menghadapi masalah yang sama.
Aspek teknis yang tidak dibahas dalam artikel: kerentanan muncul bukan di dompet keras itu sendiri, tetapi di plugin pihak ketiga untuk pelacakan pesanan — ini menunjukkan titik lemah bukan dalam kriptografi perangkat, tetapi dalam layanan web pendukung yang dihubungkan perusahaan ke platform mereka. Selain itu, jangka waktu kebocoran — lebih dari setahun — membuat kita berpikir: berapa banyak lagi kerentanan serupa dalam sistem pendukung produsen yang tetap tidak diketahui sampai saat data mulai digunakan melawan pelanggan itu sendiri?
end-content
