Produsen perangkat keras penyimpan aset kripto terkemuka, Keystone, secara resmi mengumumkan keputusan untuk memusnahkan 18.835 unit hardware wallet dari inventaris pabriknya setelah peretas berhasil membobol sistem internal dan mencuri kunci otentikasi perangkat (WebAuth key). Insiden keamanan yang bermula pada 20 Oktober 2026 tersebut dieksploitasi melalui celah pada modul pemantauan data pihak ketiga di situs resmi perusahaan. Selain membobol kunci verifikasi pabrik, peretas turut mengekspos data pribadi milik 25.964 pelanggan serta 12.873 data checkout yang belum rampung. Kendati demikian, Keystone memastikan bahwa frase pemulihan (recovery seed phrase), private key, kredensial dompet, maupun data perbankan pengguna tidak tersentuh dalam insiden ini.
Ancaman Perangkat Palsu dan Pemusnahan 18.835 Unit Inventaris
Langkah drastis memusnahkan 18.835 unit dompet perangkat keras diambil karena kunci WebAuth yang dicuri tertanam secara permanen ke dalam komponen fisik perangkat keras saat proses perakitan di fasilitas manufaktur. Berdasarkan arsitektur keamanannya, kunci otentikasi tersebut tidak dapat dihapus, ditimpa, maupun diprogram ulang begitu perangkat selesai diproduksi. Kunci ini digunakan secara eksklusif oleh sistem untuk memverifikasi keaslian hardware wallet saat pengguna menghubungkan perangkat ke portal web otentikasi resmi Keystone guna memastikan perangkat bukan tiruan sebelum digunakan menyimpan aset digital.
Meskipun kunci WebAuth tidak memiliki fungsi operasional dalam pembuatan seed phrase, pembentukan kunci privat, maupun penandatanganan transaksi on-chain, kebocoran kunci master verifikasi ini menciptakan celah eksploitasi rantai pasok (supply chain risk) yang fatal. Pihak penyerang yang memegang kunci otentikasi tersebut memiliki kapasitas teknis untuk merakit perangkat keras palsu yang mampu lolos dari uji keaslian sistem Keystone. Demi mengeliminasi peredaran perangkat yang berpotensi disusupi atau dikloning oleh aktor jahat di pasar global, manajemen Keystone memilih menghancurkan seluruh stok unit yang masih menggunakan kunci lama dan menghentikan pengiriman pesanan baru hingga unit pengganti siap didistribusikan.
Keystone mengonfirmasi bahwa jalur produksi kini telah dialihkan ke kunci otentikasi baru dengan protokol enkripsi yang diperbarui. Seluruh pesanan tertunda di situs resmi untuk sementara dialihkan ke skema pemesanan awal (pre-order) sampai proses manufaktur dan uji kualitas selesai dilakukan secara menyeluruh. Bagi pengguna yang telah menerima perangkat sebelum tanggal 20 Oktober 2026, Keystone menyatakan dompet tersebut tetap aman digunakan selama berhasil melewati prosedur otentikasi resmi. Namun, bagi konsumen yang menerima kiriman setelah tanggal tersebut, perusahaan menyarankan untuk menghubungi saluran dukungan resmi guna menjalani verifikasi manual tambahan sebelum menyetorkan dana kripto.
Kegagalan Retensi Data Shopify dan Pembocoran 25.964 Rekor Pembeli
Investigasi forensik independen yang digelar Keystone mengungkap bahwa peretas berhasil mengakses 51.083 rekor transaksi pembelian di toko resmi Shopify perusahaan. Beruntung, sebanyak 25.119 data transaksi di antaranya telah berhasil dihapus secara permanen sebelum peretasan berlangsung. Namun, sebanyak 25.964 data pembeli yang tercatat antara periode 2024 hingga 2026 berhasil diakses oleh pelaku kejahatan siber, mencakup nama lengkap, nomor telepon, alamat surel, alamat pengiriman fisik, hingga rincian pesanan perangkat. Selain itu, terdapat 12.873 rekor transaksi tertunda (incomplete checkout) yang turut terekspos akibat formulir pemesanan yang ditinggalkan konsumen.
Keystone mengakui adanya kegagalan operasional internal pada sistem otomatisasi penghapusan data pelanggan yang seharusnya membersihkan data secara berkala dalam batas waktu 180 hari. Alat penghapusan otomatis tersebut mengalami kendala teknis yang luput dari pemantauan berkala tim kepatuhan internal, sehingga data sensitif pelanggan tersimpan melampaui jadwal retensi yang diizinkan oleh kebijakan privasi perusahaan. Merespons temuan tersebut, Keystone memangkas periode retensi data menjadi maksimal 90 hari dan telah melayangkan permintaan penghapusan data massal kepada Shopify pada 24 Oktober 2026, yang diperkirakan rampung secara efektif pada 3 November mendatang setelah masa tunggu sepuluh hari.
Sebagai langkah mitigasi hukum dan kepatuhan global, Keystone telah mengirimkan laporan resmi mengenai pelanggaran data ini kepada regulator perlindungan data dan otoritas penegak hukum di Uni Eropa, Inggris, serta yurisdiksi terkait lainnya. Pelanggan yang datanya terkonfirmasi bocor akan menerima pemberitahuan individual melalui surel resmi. Selain itu, Keystone juga tengah merancang portal pencarian mandiri agar para pengguna dapat memeriksa status keterpaparan data mereka secara langsung, disertai layanan verifikasi untuk memastikan seluruh riwayat informasi pribadi mereka telah dihapus bersih dari peladen mitra pihak ketiga.
Peringatan Penipuan Phishing dan Risiko Keamanan Rantai Pasok Kripto
Manajemen Keystone mengeluarkan peringatan keras kepada seluruh komunitas kripto agar mewaspadai potensi serangan rekayasa sosial (phishing) berskala masif yang memanfaatkan kebocoran data kontak pembeli. Perusahaan menegaskan tidak pernah menyelenggarakan program penarikan perangkat (device recall) dari tangan konsumen. Pengguna diminta untuk langsung mengabaikan dan melaporkan setiap pihak yang menghubungi mereka dengan mengatasnamakan Keystone untuk meminta pengiriman kembali perangkat fisik, melakukan migrasi dompet digital, atau memverifikasi seed phrase melalui situs web eksternal. Setiap klaim penarikan barang di luar saluran resmi dipastikan merupakan modus penipuan untuk mencuri aset kripto korban.
Insiden kebocoran kunci otentikasi dan data pembeli Keystone ini menambah panjang daftar ancaman keamanan rantai pasok yang membayangi ekosistem dompet perangkat keras global sepanjang tahun 2026. Belum lama ini, investigasi terhadap perangkat Ledger di Asia Tenggara membongkar adanya implan perangkat keras tersembunyi (spy-chip) berfrekuensi seluler yang disusupi reseller pihak ketiga untuk mencuri seed phrase korban saat proses inisiasi. Sementara itu, vendor hardware wallet lain seperti Trezor dan BitBox juga sempat menghadapi gelombang serangan surel phishing serupa setelah basis data logistik penyedia pihak ketiga mereka, ShipMonk, dibobol peretas dan mengekspos puluhan ribu informasi pengiriman.
Rangkaian peristiwa ini menegaskan bahwa integritas penyimpanan dingin (cold storage) tidak hanya bertumpu pada ketahanan chip Secure Element semata, melainkan juga sangat rentan terhadap kebocoran metadata pengiriman serta celah rantai pasok perangkat keras. Para analis keamanan Web3 mengingatkan investor agar selalu membeli perangkat langsung dari produsen resmi, memverifikasi nomor seri serta kunci otentikasi pabrik, dan tidak pernah memasukkan 12 atau 24 kata pemulihan ke perangkat yang terhubung dengan internet. Dengan langkah pemusnahan 18.835 unit perangkat bermasalah ini, Keystone berupaya membendung peredaran kloning fisik demi menjaga kepercayaan pengguna dalam mengamankan portofolio kripto mereka.
Sumber: The Defiant
