Produsen dompet perangkat keras (hardware wallet) kripto terkemuka, Keystone, secara resmi mengonfirmasi terjadinya insiden pelanggaran keamanan siber pada situs web komersialnya yang mengakibatkan kebocoran data pribadi pelanggan secara luas. Insiden keamanan ini mengekspos informasi kontak penting, nomor telepon, alamat pengiriman fisik, serta riwayat pesanan perangkat milik pembeli di berbagai belahan dunia. Manajemen Keystone pertama kali mendeteksi anomali akses tanpa izin pada 20 Oktober 2026, sebelum akhirnya mengonfirmasi peretasan catatan konsumen melalui integrasi antarmuka pemrograman aplikasi (API) platform e-commerce pihak ketiga pada 23 Oktober 2026. Meskipun data logistik terdampak, perusahaan memastikan bahwa kunci privat, seed phrase, dan seluruh aset digital investor tetap terlindungi aman di dalam chip perangkat.
Kronologi Akses Tidak Sah dan Pembobolan API Shopify
Berdasarkan laporan transparansi insiden yang dirilis oleh Keystone, tim pertahanan siber internal pertama kali mengidentifikasi aktivitas mencurigakan dan pola lalu lintas tak lazim pada infrastruktur web pada Selasa, 20 Oktober 2026. Menindaklanjuti temuan indikasi pembobolan tersebut, tim teknisi Keystone segera meluncurkan audit forensik komprehensif terhadap seluruh konektor dan titik integrasi pihak ketiga yang mengelola operasional toko daring perusahaan.
Hasil penyelidikan teknis mengonfirmasi bahwa aktor ancaman siber berhasil mengeksploitasi celah otorisasi pada antarmuka pemrograman aplikasi (API) Shopify yang digunakan Keystone untuk memproses transaksi penjualan hardware wallet. Pada Jumat, 23 Oktober 2026, pihak investigator memastikan bahwa pihak ketiga tanpa izin telah mengunduh basis data pesanan pelanggan. Sebagai langkah mitigasi cepat, Keystone langsung memutus akses integrasi API yang disusupi, menutup celah kerentanan sistem yang dieksploitasi, serta mengirimkan notifikasi resmi kepada para pelanggan terdampak via surat elektronik guna mencegah dampak ikutan yang lebih luas.
Rincian Catatan Terekspos dan Jaminan Keamanan Kunci Privat
Basis data pelanggan yang berhasil diunduh peretas mencakup rincian identitas lengkap pembeli, seperti nama pemesan, alamat surat elektronik (surel), nomor telepon seluler aktif, hingga alamat pos pengiriman fisik. Selain informasi demografis, catatan yang bocor juga memuat manifes pesanan komersial yang merinci tipe model perangkat Keystone yang dibeli, nomor resi, serta nominal harga transaksi yang dibayarkan konsumen saat bertransaksi di toko resmi.
Keystone menegaskan bahwa arsitektur cold storage buatannya sama sekali tidak terkompromi dalam pembobolan data eksternal ini. Basis data pesanan e-commerce terpisah total dari sistem perangkat keras, sehingga informasi rahasia tingkat tinggi seperti frasa pemulihan 24 kata (seed phrase), kunci privat kriptografis, kata sandi, maupun data perbankan dan kartu kredit tidak pernah tersimpan di server toko daring. Dompet fisik Keystone tetap mempertahankan integritas keamanannya yang beroperasi secara tanpa kabel (100% air-gapped) dengan perlindungan chip Secure Element berstandar militer, memastikan kepemilikan aset on-chain pengguna tetap kebal dari manipulasi peretas.
Risiko Ancaman Phishing dan Rekayasa Sosial Perangkat Palsu
Kendati aset kripto pengguna aman secara on-chain, bocornya informasi fisik dan kontak memicu ancaman rekayasa sosial (social engineering) tingkat lanjut. Para pakar keamanan siber mengingatkan bahwa insiden kebocoran data hardware wallet sebelumnya di industri kripto, seperti kasus Ledger beberapa tahun silam, kerap dimanfaatkan sindikat penipu untuk meluncurkan kampanye phishing tertarget yang sangat meyakinkan terhadap pemilik dompet aset digital.
Keystone secara proaktif memperingatkan seluruh konsumen agar meningkatkan kewaspadaan ekstra terhadap kontak mencurigakan yang mengatasnamakan perusahaan. Modus operandi yang diantisipasi meliputi penipuan kompensasi dana (refund scam), instruksi pembaruan perangkat tepercaya palsu, peringatan eror alamat pengiriman, hingga paket kiriman fisik berupa perangkat keras pengganti palsu yang telah ditanami implan peretas (hardware implant). Keystone menggarisbawahi bahwa manajemen resmi tidak pernah meminta seed phrase pelanggan dalam kondisi apa pun dan mengimbau pengguna untuk memverifikasi seluruh komunikasi hanya melalui saluran web resmi perusahaan.
Sumber: TokenPost
