ASIAWORLDVIEW – Dua produsen dompet kripto hardware (perangkat fisik penyimpan aset kripto) kembali mengungkap insiden keamanan dalam beberapa hari terakhir, menambah rentetan pekan yang sangat buruk bagi perusahaan-perusahaan yang menjual perangkat untuk menyimpan bitcoin dan aset kripto lainnya secara offline, jauh dari jangkauan penyerang jarak jauh. Insiden terbaru ini melibatkan merek Foundation dan Keystone, dua nama yang dikenal di kalangan pengguna kripto yang mengutamakan keamanan penyimpanan mandiri (self-custody). Keduanya menyusul serangkaian kasus sebelumnya yang menimpa Ledger dan Coldcard, yang secara kolektif telah dikaitkan dengan estimasi kerugian pengguna lebih dari US$200 juta.
Meski demikian, terdapat perbedaan mendasar: kasus Ledger dan Coldcard melibatkan pencurian dana secara langsung melalui serangan rantai pasok (supply-chain attack) dan celah firmware, sementara insiden Foundation dan Keystone lebih berpusat pada data pelanggan dan sistem operasional, bukan pada kunci privat yang tersimpan di dalam perangkat itu sendiri.
Merek dompet hardware Foundation mengeluarkan pengumuman melalui platform X yang menjelaskan bahwa email spam telah dikirim dan tampak berasal dari domain resmi perusahaan. Perusahaan menelusuri masalah tersebut ke satu atau lebih kunci API Cloudflare yang dikompromikan, yang sejak itu telah dicabut, dan juga menurunkan domain berbahaya yang dirujuk dalam pesan tersebut. Email phishing tersebut tampaknya bervariasi dalam tingkat detail pribadi yang disertakan, tetapi semuanya memperingatkan adanya penarikan kembali perangkat (recall) palsu yang mendesak. Salah satu versi, yang diterima langsung oleh jurnalis teknologi Kyle, dibaca sebagian:
Co-founder dan CEO Foundation, Zach Herbert, kemudian memposting bahwa sebagian infrastruktur backend perusahaan dikompromikan melalui kerentanan dalam aplikasi yang di-host sendiri (self-hosted app). Penyerang kemungkinan dapat mengakses kotak masuk dukungan pelanggan dan mengirim email yang tampak sah.
Baca Juga: Celah Keamanan Dompet Bitcoin Dimanfaatkan Hacker, Pengguna Kehilangan Dana
Perusahaan menyatakan telah mematikan kemampuan penyerang untuk mengirim email dan mengeluarkan mereka dari sistem dalam waktu 10 menit sejak laporan pengguna pertama. Untuk sebagian pesan yang menyertakan alamat surat atau nomor telepon, Herbert menduga data tersebut berasal dari kotak masuk dukungan, referensi silang dengan kebocoran kripto terbaru lainnya, atau pesanan terbaru di situs Shopify baru Foundation. Kebijakan privasi Foundation menyatakan bahwa perusahaan menyimpan nama, alamat, nomor telepon, dan email selama 60 hari setelah pesanan dikirim, kemudian menghapusnya dari sistem online. Namun, pengguna melaporkan menerima pesan personal yang terkait dengan pembelian lama, dan sebagian yang sebelumnya meminta penghapusan data tetap menerima email yang menyertakan detail mereka.
Dalam pembaruan investigasi selanjutnya, Foundation menjelaskan bahwa toko WooCommerce sebelumnya dikonfigurasi untuk redaksi otomatis setelah 60 hari, tetapi migrasi basis data meninggalkan salinan pesanan lama di tabel legacy yang tidak ditampilkan dasbor admin sebagai masih berisi informasi pribadi. Ironisnya, tiga hari sebelum email phishing dikirim, Foundation memposting bahwa akun email bisa menjadi titik kegagalan terbesar dalam keamanan digital seseorang.
Sementara, Keystone pertama kali mengungkap bahwa mereka mendeteksi akses tidak sah ke situs web resminya pada 20 Oktober dan mengonfirmasi tiga hari kemudian, setelah meninjau aktivitas API dengan Shopify, bahwa pihak ketiga telah memperoleh informasi pengiriman pelanggan. Perusahaan menyatakan data yang terekspos mencakup nama, detail kontak, alamat pengiriman, dan rincian pesanan seperti item yang dibeli dan harganya.
Keystone juga mengungkap bahwa penyerang yang mengakses situs webnya memperoleh kunci yang digunakan untuk memverifikasi apakah suatu perangkat asli (genuine), yang memaksa perusahaan untuk memusnahkan hampir 19.000 unit yang belum terjual. Kunci autentikasi ini adalah komponen kritis dalam rantai kepercayaan dompet hardware: jika jatuh ke tangan yang salah, penyerang berpotensi memalsukan verifikasi perangkat atau menanamkan kesan bahwa perangkat palsu adalah asli, meskipun Keystone menegaskan bahwa kunci privat pengguna tidak terekspos. Keputusan untuk memusnahkan ribuan unit tersebut menunjukkan betapa seriusnya implikasi keamanan dari kebocoran kunci autentikasi, sekaligus menimbulkan pertanyaan tentang biaya operasional dan reputasi yang harus ditanggung perusahaan.
Rentetan insiden ini mempertegas bahwa ancaman terhadap dompet kripto hardware tidak selalu datang dari serangan teknis terhadap chip atau firmware, tetapi juga dari permukaan serangan yang lebih luas: infrastruktur cloud, API pihak ketiga, kotak masuk dukungan pelanggan, dan situs e-commerce. Bagi pengguna, pesan utamanya jelas: kunci privat mungkin tetap aman di perangkat, tetapi data pribadi dan kepercayaan pada komunikasi resmi perusahaan bisa menjadi titik lemah. Pengguna perlu waspada terhadap email yang tampak berasal dari domain resmi, memverifikasi ulang melalui saluran independen, dan memahami bahwa kebijakan penghapusan data tidak selalu berjalan sesuai janji.
Bagi industri, insiden ini menjadi pengingat bahwa keamanan dompet hardware tidak berhenti pada perangkat fisik, melainkan mencakup seluruh rantai pasok, sistem backend, dan tata kelola data pelanggan.
