Penyedia Layanan Pengiriman Trezor Membuat 13.689 Pelanggan Kripto Rentan Terhadap Penipuan

Menurut pembaruan keamanan perusahaan, pelanggan yang terkena dampak menerima pesanan di Amerika Serikat, Inggris Raya, Swedia, Kolombia, Brasil, Italia, atau Portugal selama 90 hari sebelum 8 Agustus, tulis Trezor. Produsen dompet perangkat keras tersebut mengatakan bahwa Shipmonk telah memberitahukan adanya akses tidak sah ke sistem yang menyimpan data pelanggan pada 10 Agustus.

Trezor menyebutkan bahwa nama lengkap, alamat email, nomor telepon, dan alamat pengiriman dari 11.742 pelanggan telah terekspos. Sebanyak 1.947 pelanggan lainnya mengalami kebocoran informasi sebagian: nama, kota, dan alamat email.

Dompet perangkat keras adalah perangkat fisik yang dirancang untuk menyimpan kredensial pribadi yang digunakan untuk mengontrol mata uang kripto secara offline. Kredensial tersebut, yang sering disebut kunci pribadi, tidak terungkap dalam insiden ini. "Semua pelanggan yang terkena dampak telah dihubungi secara terpisah melalui email. Sistem dan perangkat kami tetap aman, tetapi pelanggan yang terkena dampak mungkin mengalami peningkatan upaya phishing," jelas Trezor di X.

Risiko Langsungnya Adalah Peniruan Identitas

Masalah yang lebih mendesak adalah phishing, sebuah taktik penipuan di mana penjahat menyamar sebagai perusahaan tepercaya, bank, atau layanan lain untuk mengelabui orang agar menyerahkan informasi sensitif.

“Penipu dapat menggunakan informasi yang bocor untuk mengirim email palsu, melakukan panggilan telepon palsu, mengirim surat penipuan, atau berpotensi menyamar sebagai bank, bursa kripto, atau bahkan Trezor,” kata perusahaan tersebut dalam pemberitahuan kepada pelanggannya.

Risiko tersebut sangat serius bagi pemilik dompet perangkat keras karena penjahat mungkin mencoba memperoleh cadangan dompet, yang juga dikenal sebagai frasa pemulihan. Frasa pemulihan dapat memulihkan akses ke dompet kripto, yang berarti siapa pun yang memperolehnya mungkin dapat mengambil dana di dalamnya.

Trezor mendesak pelanggan untuk tidak pernah memasukkan cadangan dompet di situs web atau membagikannya kepada siapa pun. Perusahaan juga menyarankan agar masyarakat waspada terhadap pesan yang meminta tindakan mendesak atau informasi pribadi, serta memverifikasi komunikasi melalui saluran resmi Trezor.

Mitra Pengiriman Menyimpan Data

Shipmonk adalah penyedia jasa logistik yang menyimpan produk dan mengirimkan pesanan kepada pembeli. Trezor menyatakan bahwa mitra semacam itu memerlukan informasi pengiriman dasar, termasuk nama penerima, alamat, nomor telepon, dan alamat email.

Trezor menekankan bahwa sistem, produk, dan layanannya sendiri tidak terpengaruh. “Perangkat Trezor tetap sepenuhnya aman dan terlindungi,” kata perusahaan tersebut, sambil menambahkan bahwa operasi normal tetap berlanjut.

Perusahaan tersebut menyatakan bahwa kebijakan penyimpanan data selama 90 hari membatasi dampak kebocoran tersebut. Trezor mewajibkan mitra pemenuhan pesanan untuk menghapus atau menganonimkan data pesanan pelanggan 90 hari setelah pengiriman, setelah periode yang diperlukan untuk pengiriman, pengembalian barang, pengembalian dana, dan penggantian barang telah berlalu.

“Satu-satunya dampak nyata adalah bahwa pelanggan yang terkena dampak mungkin akan menghadapi lebih banyak upaya phishing melalui email, telepon, atau surat,” ungkap Trezor. Perusahaan tersebut menyatakan bahwa pelanggan yang terkena dampak telah dihubungi secara langsung melalui help@trezor.io dan bahwa orang-orang yang tidak menerima pemberitahuan tersebut tidak terkena dampaknya.

Industri Dompet Perangkat Keras Pernah Mengalami Hal Ini Sebelumnya

Insiden ini bukanlah kebocoran data pelanggan pertama yang terkait dengan produsen dompet perangkat keras. Ledger, produsen besar lainnya, mengalami kebocoran yang melibatkan basis data e-commerce dan pemasarannya pada tahun 2020.

Insiden tersebut membocorkan sekitar 1 juta alamat email dan, kemudian, sekitar 272.000 catatan pelanggan yang lebih rinci, termasuk nama, alamat pos, nomor telepon, dan produk yang dipesan.

Insiden Ledger tersebut menunjukkan mengapa informasi pribadi yang terkait dengan kepemilikan kripto dapat bernilai bagi para penjahat, bahkan ketika teknologi dompet itu sendiri tetap aman. Informasi tersebut dapat membantu penipu merancang pesan yang meyakinkan yang ditujukan kepada pelanggan yang sudah dikenal. Trezor menjelaskan pada hari Kamis bahwa mereka sedang mengerjakan metode pengiriman yang lebih privat.

Perusahaan tersebut menyatakan:

"Saat ini kami sedang mengembangkan opsi Pengiriman Anonim, yang kami targetkan siap pada bulan September untuk Uni Eropa dan pada akhir tahun untuk Amerika Serikat. Hal ini memberikan Anda cara yang lebih aman untuk memesan dompet perangkat keras tanpa mengaitkan pembelian tersebut dengan alamat rumah atau identitas dunia nyata Anda."

Trezor juga mengungkapkan bahwa Shipmonk telah mengamankan dan memperkuat sistem yang terdampak sementara penyelidikan masih berlangsung. Pelanggan disarankan untuk memantau pembaruan lebih lanjut, dan Trezor berencana meluncurkan Pengiriman Anonim di Uni Eropa pada bulan September dan di Amerika Serikat pada akhir tahun 2026.