Ditulis oleh: Xiaobing
Di dunia keamanan kripto, ada aturan yang kontra-intuitif: terkadang, mengetahui berapa banyak Bitcoin yang dimiliki seseorang lebih berbahaya daripada mengetahui kunci pribadinya.
Pada 16 Agustus, produsen dompet keras SafePal merilis pemberitahuan keamanan yang mengonfirmasi adanya cacat otorisasi pada plugin pengecekan pesanan mereka, yang mengakibatkan sekitar 39.798 nama, email, nomor telepon, alamat pengiriman, dan riwayat pembelian pelanggan diakses tanpa izin. Pelanggan yang terdampak adalah mereka yang melakukan pemesanan antara 2 Maret 2025 dan 11 April 2026.
SafePal menekankan dalam pengumumannya: Kunci pribadi, frase pemulihan (seed phrase), kata sandi dompet, nomor kartu kredit, dan informasi dokumen identitas tidak terdampak. Arsitektur penyimpanan dingin beroperasi di lingkungan yang sepenuhnya terisolasi dan tidak terhubung dengan server e-commerce. Tidak ada bukti yang menunjukkan dompet atau dana pengguna berhasil diretas secara langsung.
Perusahaan juga mengungkapkan telah menemukan dan menghapus lebih dari 30 situs phishing yang terkait dengan insiden ini.
Mengapa Daftar Belanja Lebih Menakutkan daripada Kata Sandi
Apa yang sekarang dimiliki penyerang: Nama asli, nomor ponsel, alamat email, dan alamat rumah dari hampir 40.000 orang yang telah dikonfirmasi membeli dompet penyimpanan dingin (hardware wallet).
Nilai data ini jauh lebih tinggi daripada kebocoran pesanan dari platform e-commerce biasa. Orang yang membeli dompet penyimpanan dingin hampir pasti memiliki aset kripto, dan kemungkinan besar jumlahnya signifikan. Pengguna yang rela mengeluarkan uang untuk membeli perangkat keras khusus untuk menyimpan aset biasanya bukan investor kecil yang hanya memegang beberapa ratus dolar.
Penyerang tidak perlu meretas perangkat apa pun. Hal-hal yang dapat mereka lakukan termasuk:
Menyamar sebagai dukungan pelanggan SafePal, mengirim "Pemberitahuan Pembaruan Firmware" atau "Pemberitahuan Penarikan Produk" yang berisi nomor pesanan dan tanggal pembelian yang valid. Karena informasi pesanan dalam email itu benar, pengguna akan lebih mudah mempercayai bahwa seluruh email tersebut asli.
Mengirim surat fisik atau paket ke alamat rumah pengguna, disertai dengan kode QR palsu atau "perangkat pengganti". SafePal secara khusus mengingatkan dalam pengumumannya untuk "menganggap segala kontak tak terduga atau pengiriman perangkat keras yang menyebutkan catatan pembelian SafePal sebagai mencurigakan", menunjukkan bahwa serangan semacam ini telah terjadi atau diperkirakan akan terjadi.
Mencocokkan alamat, telepon, dan email yang bocor dengan akun media sosial, alamat on-chain untuk membangun profil pengguna yang lebih lengkap. Setelah mengkonfirmasi bahwa penghuni suatu alamat memegang aset kripto dalam jumlah besar, serangan fisik invasif (yang disebut serangan "wrench attack") menjadi pilihan.
SafePal sendiri dalam FAQ-nya juga mengakui bahwa serangan phishing dapat muncul dalam berbagai bentuk seperti "telepon, email, SMS, surat, penawaran pengembalian dana, permintaan pembaruan firmware, dan komunikasi palsu dari dukungan pelanggan". Panjangnya daftar ini sendiri menunjukkan keseriusan masalah.
Tiga Bulan Keheningan
Apa yang paling patut dipertanyakan dalam insiden ini adalah garis waktu pengungkapan.
SafePal mengakui di halaman FAQ bahwa mereka telah menerima laporan dari pengguna tentang email phishing sejak bulan Mei, tetapi awalnya menganggapnya sebagai "insiden terisolasi". Baru pada bulan Juli mereka melakukan tinjauan menyeluruh terhadap sistem pemesanan, dan pada bulan Agustus mereka mengkonfirmasi akar masalah dan merilis pengumuman.
Dari laporan pertama hingga pengungkapan publik, terdapat jeda sekitar tiga bulan. Selama tiga bulan ini, penyerang telah menggunakan data yang bocor untuk mengirim email phishing, dan SafePal juga mengkonfirmasi telah menemukan dan menghapus lebih dari 30 situs phishing. Artinya, pengguna, tanpa pengetahuan mereka, terpapar pada serangan rekayasa sosial yang sangat tepat sasaran selama berbulan-bulan.
SafePal juga mengungkapkan sebuah detail: prosedur pembersihan data (data-purge routine) mereka pernah berhenti berjalan karena kesalahan konfigurasi, menyebabkan informasi pesanan lama yang seharusnya dihapus setelah 90 hari tetap tersimpan di sistem. Ini berarti jumlah data yang bocor mungkin lebih besar dari biasanya. Data yang seharusnya telah dihancurkan sesuai kebijakan privasi, bertahan hidup karena bug konfigurasi, dan kemudian dibocorkan.
Paradoks Keamanan Dompet Dingin
Insiden SafePal ini mengungkap kontradiksi struktural dalam industri dompet keras.
Seluruh daya tarik dompet dingin adalah keamanan. Ia melindungi kunci pribadi melalui isolasi fisik, membuat peretas tidak dapat mencapai aset inti melalui serangan jaringan. Janji ini benar-benar ditepati oleh SafePal; yang bocor kali ini adalah sistem e-commerce, bukan sistem dompet.
Namun, dompet dingin harus dijual melalui saluran e-commerce, dan saluran e-commerce secara alami perlu mengumpulkan informasi identitas nyata pengguna: nama, alamat, telepon, untuk pengiriman logistik. Begitu informasi ini bocor, ia secara tepat menandai "siapa yang menyimpan aset kripto dalam jumlah besar".
Ledger mengalami insiden yang hampir persis sama pada tahun 2020: sekitar 270.000 nama, email, telepon, dan alamat pelanggan bocor. Setelah kebocoran, korban melaporkan banyak serangan phishing yang sangat tepat sasaran dan serangan perebutan kartu SIM. Beberapa pengguna bahkan menerima ancaman pembunuhan. CEO Ledger kemudian meminta maaf secara terbuka, mengakui perusahaan melakukan kesalahan dalam praktik retensi dan keamanan data.
Sekarang, SafePal menghadapi pengulangan pelajaran yang sama, perbedaannya hanya pada skala yang lebih kecil (39,8 ribu vs 270 ribu), tetapi skrip penyerangnya persis sama.
Apa yang Harus Anda Lakukan?
SafePal memberikan saran keamanan standar dalam pengumumannya: Jangan membagikan frase pemulihan (seed phrase), jangan mengklik tautan yang tidak jelas, ketik alamat situs web resmi secara manual daripada mengklik tautan dalam email.
Namun bagi pengguna yang terdampak, ada beberapa hal yang lebih praktis untuk dilakukan.
Langkah paling mendesak adalah memeriksa apakah Anda pernah menerima pemberitahuan "Pembaruan Firmware" atau "Penarikan Perangkat" yang dikirim atas nama SafePal. Jika Anda telah memasukkan frase pemulihan di halaman yang mencurigakan, segera buat dompet baru dan pindahkan aset Anda. SafePal dengan jelas menyatakan dalam pengumumannya bahwa mereka tidak akan pernah meminta frase pemulihan melalui telepon, email, atau saluran apa pun.
Kunjungi halaman verifikasi khusus SafePal dan gunakan nomor pesanan Anda untuk memeriksa apakah Anda termasuk dalam cakupan yang terdampak. Setelah dikonfirmasi, Anda dapat mengajukan permohonan penghapusan informasi pribadi Anda. Dalam beberapa bulan ke depan, perlakukan semua surat fisik dan paket yang menyebutkan SafePal atau dompet dingin sebagai mencurigakan. SafePal secara tegas menyatakan tidak akan pernah mengirim surat fisik.
Jika alamat pengiriman Anda juga merupakan lokasi penyimpanan aset kripto Anda, evaluasi dengan serius langkah-langkah keamanan fisik. Ini mungkin terdengar seperti reaksi berlebihan, tetapi setelah kebocoran data Ledger, ada pengguna yang benar-benar menghadapi ancaman fisik karena data ini.
Industri kripto telah menghabiskan sepuluh tahun untuk mendidik pengguna "jaga baik-baik kunci pribadi Anda". Pelajaran dari SafePal dan Ledger menunjukkan bahwa penyerang telah lama menghindari kunci pribadi; mereka menargetkan orang yang memegang kunci pribadi itu. Pada saat informasi "siapa yang memegang aset kripto" bocor, penyimpanan dingin yang paling kokoh pun tidak dapat memberikan perlindungan.
Mata rantai terlemah dalam rantai keamanan tidak pernah menjadi chip atau kriptografi, melainkan manusia.
