web3: Pengguna dompet hardware menghadapi risiko keamanan yang lebih tinggi setelah kebocoran data

Baru-baru ini, setelah dua perusahaan logistik mengalami kebocoran data secara beruntun, para pengguna dompet keras kripto menghadapi tekanan keamanan baru. Trezor dan SafePal menyatakan bahwa ribuan data pribadi dan informasi pengiriman milik pelanggan telah dicuri dari mitra logistik masing-masing. Media asing menunjukkan bahwa insiden ini tidak secara langsung memengaruhi fungsi penyimpanan offline dompet, namun mengungkap risiko ketergantungan industri kripto pada rantai pasok eksternal.

Informasi yang bocor mengarah pada alamat asli

Kedua perusahaan telah memberikan nama, alamat rumah, email, dan nomor telepon pelanggan kepada perusahaan logistik untuk keperluan pengiriman. Begitu informasi ini jatuh ke tangan penyerang, risikonya tidak sekadar spam atau penipuan lewat telepon saja.

Masalah yang lebih besar adalah penyerang dapat mengidentifikasi alamat mana yang kemungkinan dimiliki oleh pengguna dengan aset kripto dalam jumlah besar, kemudian melakukan phishing terarah, atau bahkan mengubah serangan online menjadi ancaman fisik secara langsung.

Risiko pemaksaan mnemonic secara fisik meningkat

Laporan tersebut menyebutkan bahwa dompet keras itu sendiri belum berhasil diretas dari jarak jauh, namun pengguna bisa saja menjadi target "serangan kunci inggris". Kasus semacam ini biasanya melibatkan penculikan, perampokan rumah, atau ancaman kekerasan, memaksa korban menyerahkan mnemonic sehingga aset di blockchain dapat dialihkan.

Perusahaan keamanan blockchain CertiK menyatakan bahwa pada 2025 sudah dikonfirmasi puluhan kasus terkait, meningkat 75% dari tahun sebelumnya, dengan kerugian lebih dari 40 juta dolar AS. Chainalysis mencatat total kerugian tahun ini hampir 30 juta dolar AS, dan beberapa sindikat telah menggunakan metode penculikan serta perampokan untuk mendapatkan mnemonic.

Begitu penyerang menguasai mnemonic, mereka dapat secara langsung mengendalikan aset kripto di dompet terkait, dan transfer di blockchain umumnya tidak dapat dibatalkan.

Kasus baru juga terjadi pada dompet keras itu sendiri

Selain kebocoran supply chain, dompet keras itu sendiri baru-baru ini juga mengalami insiden keamanan baru. Laporan menyebutkan, pada awal bulan ini, penyerang berhasil menebak kata sandi dompet keras Coldcard milik Coinkite dan mencuri aset kripto senilai lebih dari 130 juta dolar AS langsung dari blockchain.

Laporan menyatakan bahwa pelaku mampu memprediksi sebagian mnemonic yang dihasilkan secara offline oleh dompet Coldcard. Meskipun dompet dan mnemonic tidak pernah terhubung ke internet, penyerang tetap dapat secara dinamis menghasilkan kata sandi dompet pelanggan dan langsung mengalihkan dana di blockchain.

Trezor dan SafePal juga mengingatkan pengguna untuk waspada terhadap serangan phishing, termasuk pesan terarah lewat SMS, telepon, atau email. Bagi pengguna dompet keras, risiko kini tidak hanya berasal dari perangkat itu sendiri, tapi juga dari proses logistik, pengolahan data, dan kontak layanan purna jual.