Produsen dompet perangkat keras (hardware wallet) Bitcoin ternama, Foundation, mengonfirmasi penyelidikan intensif atas kebocoran data pelanggan setelah mendeteksi lebih dari 23.000 upaya pengiriman email phishing terkoordinasi pada awal pekan ini. Serangan siber rekayasa sosial tersebut memanfaatkan domain resmi dan infrastruktur internal perusahaan untuk mengelabui pemilik perangkat Passport agar menyerahkan frasa pemulihan (seed phrase) mereka. Manajemen Foundation memastikan bahwa celah keamanan ini murni terjadi pada sistem backend toko daring serta layanan bantuan pelanggan, bukan pada integritas fisik perangkat keras maupun kunci privat pengguna. Langkah pemutusan akses API dan pembersihan sistem warisan segera diberlakukan guna memitigasi penyebaran kampanye penipuan lebih lanjut.
Kronologi Pelanggaran Backend dan Vektor Celah WooCommerce
Investigasi internal yang dipimpin langsung oleh tim keamanan Foundation mengungkap bahwa peretas berhasil menyusup ke infrastruktur backend melalui kerentanan pada aplikasi mandiri (self-hosted app). Akses ilegal ini memungkinkan penyerang membobol kotak masuk layanan pelanggan (customer support inbox) serta menyalahgunakan kunci API pihak ketiga, termasuk Cloudflare dan Mailgun. Dari celah tersebut, pelaku mengekstraksi data pesanan pelanggan masa lalu dan memanfaatkan layanan pengiriman email untuk menyebarkan pesan phishing yang lolos dari filter spam konvensional.
Lebih lanjut, audit forensik menemukan bahwa salinan data pribadi pembeli masih tersimpan dalam tabel basis data lawas WooCommerce, meskipun pesanan tersebut tampak telah dianonimkan pada antarmuka administratif toko. Informasi sensitif berupa nama lengkap, alamat pos pengiriman, nomor telepon, serta riwayat keranjang terbengkalai (abandoned carts) dan catatan pengembalian dana (refunds) tetap berada pada basis data yang dapat diakses penyerang. Celah ini diperparah oleh data pesanan pasca-migrasi ke platform Shopify pada Mei lalu yang belum sempat dianonimkan secara manual karena modul penghapusan otomatis belum beroperasi aktif pada periode transisi tersebut.
Analisis Kampanye Phishing dan Verifikasi Data Nyata Korban
Dari total lebih dari 23.000 upaya pengiriman email phishing yang teridentifikasi, sebanyak 19.057 pesan tercatat berhasil terkirim melalui rel Mailgun dan 1.503 pesan meluncur via Google Workspace sebelum akses otentikasi dicabut. Pesan berbahaya tersebut menyematkan narasi kepanikan dengan subjek palsu seperti "Your Passport funds are at risk" guna mendesak penerima membuka situs tiruan. Situs jebakan tersebut menginstruksikan pengguna untuk memasukkan 12 atau 24 kata frasa pemulihan ke dalam dompet web palsu dengan dalih sinkronisasi keamanan darurat.
Sejumlah tokoh terkemuka industri kripto turut menjadi target langsung kampanye berbahaya ini. Pendiri platform MyCrypto, Taylor Monahan, mengonfirmasi bahwa ia menerima email phishing resmi ke kotak masuk pribadinya yang mencantumkan nama asli, alamat email, dan alamat fisik pengiriman yang merujuk pada transaksi pembelian perangkat Passport pada pertengahan 2025. Pengguna media sosial X dengan pegangan @tuxpizza juga melaporkan pola identik di mana pesan dikirimkan langsung dari alamat resmi Foundation lengkap dengan detail identitas pribadi yang akurat, mempertegas bahwa penyerang memiliki data pesanan faktual yang sangat terperinci.
Ketahanan Kunci Privat dan Prosedur Mitigasi Keamanan Fisik
Menanggapi kepanikan komunitas, Chief Executive Officer (CEO) Foundation Zach Herbert menegaskan bahwa perangkat Passport dan dana yang tersimpan di dalamnya tetap aman sepenuhnya. Herbert menyatakan bahwa tim teknis berhasil memutus kemampuan pengiriman email penyerang dalam kurun waktu sepuluh menit setelah laporan awal pengguna diterima. Seluruh kredensial email yang terdampak langsung dicabut, pesan phishing yang masih tertahan di antrean server segera dimusnahkan, dan layanan sistem lawas yang rentan telah dinonaktifkan secara permanen untuk menutup jalur penyusupan.
Perusahaan kembali menggarisbawahi pemisahan arsitektur mutlak antara server e-commerce dan keamanan cold storage. Chip Secure Element serta mekanisme air-gapped pada dompet Passport dirancang secara terisolasi sehingga tidak dapat ditembus melalui pelanggaran jaringan daring pihak ketiga. Kendati demikian, bocornya alamat fisik rumah menimbulkan risiko keselamatan nyata di dunia fisik (wrench attack) dan serangan rekayasa sosial tingkat lanjut. Pengguna diimbau untuk selalu waspada terhadap segala bentuk korespondensi yang meminta frasa pemulihan, mengingat staf resmi produsen hardware wallet tidak akan pernah meminta seed phrase atau kunci privat dalam situasi operasional apa pun.
Sumber: TokenPost
