SafePal Bocorkan Data 40.000 Pembeli Dompet Keras: Kunci Pribadi Aman, Bahaya Justru Mendekati Fisik
Insiden SafePal Bocorkan Data Pembeli Dompet Kripto, Fokus pada Ancaman Fisik
Perusahaan dompet keras (hardware wallet) SafePal mengumumkan bahwa kerentanan pada plugin pencarian pesanan menyebabkan data sekitar 39,798 pelanggan, termasuk nama, email, nomor telepon, alamat pengiriman, dan riwayat pembelian, diakses tanpa izin. Data yang bocor berasal dari pesanan antara 2 Maret 2025 hingga 11 April 2026. SafePal menegaskan bahwa informasi sensitif seperti private key, seed phrase, dan rincian kartu kredit tidak terpengaruh.
Inti bahaya dari kebocoran ini bukan pada peretasan dompet itu sendiri, melainkan pada fakta bahwa data ini secara akurat mengidentifikasi individu yang kemungkinan menyimpan aset kripto dalam jumlah besar. Informasi seperti ini sangat berharga bagi penyerang untuk melancarkan serangan rekayasa sosial (social engineering) yang sangat tertarget, seperti:
* Mengirim email/phising yang tampak sah berisi detail pesanan asli untuk menipu korban.
* Mengirim surat atau paket fisik palsu ke alamat rumah korban.
* Mencocokkan data dengan informasi lain untuk mengidentifikasi target beraset besar, yang dapat berpotensi memicu ancaman fisik atau "serangan kunci pas" (wrench attack).
SafePal mengakui bahwa laporan tentang email phising pertama kali diterima pada Mei, tetapi investigasi menyeluruh baru dilakukan pada Juli, dan pernyataan resmi dirilis pada Agustus—terjadi jeda sekitar tiga bulan di mana pengguna rentan tanpa pengetahuan mereka. Perusahaan juga menemukan dan menurunkan lebih dari 30 situs web phising terkait.
Insiden ini mencerminkan paradoks keamanan dalam industri dompet keras: sementara perangkat itu sendiri melindungi kunci pribadi melalui isolasi fisik, saluran penjualan e-commerce yang mengumpulkan data identitas pengguna justru menjadi titik lemah baru. Kasus serupa pernah dialami Ledger pada tahun 2020.
SafePal memberikan saran standar seperti tidak membagikan seed phrase dan menghindari tautan mencurigakan. Bagi pengguna yang terdampak, langkah penting termasuk memverifikasi status mereka melalui halaman khusus SafePal, waspada terhadap semua komunikasi tak terduga (digital dan fisik) yang mengatasnamakan SafePal, serta mempertimbangkan kembali langkah-langkah keamanan fisik jika alamat pengiriman sama dengan lokasi penyimpanan aset.
Insiden ini menggarisbawahi bahwa mata rantai terlemah dalam keamanan kripto seringkali bukanlah teknologi, melainkan manusia di belakangnya. Informasi tentang "siapa yang memegang aset" bisa sama berbahayanya dengan akses ke private key itu sendiri.
marsbit4j yang lalu
