Insiden Pelanggaran Keamanan di Keystone Wallet
Keystone Wallet, sebuah perusahaan pembuat dompet perangkat keras cryptocurrency, telah menghancurkan hampir 19.000 perangkat yang belum terjual setelah terjadi pelanggaran pada situs web mereka yang mengungkap kunci autentikasi perangkat. Insiden ini terdeteksi pada 20 Oktober 2026, ketika penyerang berhasil mengeksploitasi kerentanan dalam alat pemantauan data pihak ketiga yang digunakan oleh situs web mereka.
“Penyelidikan kami menemukan bahwa penyerang memanfaatkan kerentanan dalam alat pemantauan data pihak ketiga yang kami gunakan untuk meningkatkan hak akses. Hal ini memungkinkan mereka untuk mengakses beberapa informasi pelanggan dan kunci yang digunakan untuk memverifikasi keaslian perangkat kami,” ungkap perusahaan dalam pernyataannya.
Data yang Terungkap
Pelanggaran tersebut mengungkap 25.964 catatan pembeli yang berisi informasi pribadi seperti nama, detail kontak, alamat pengiriman, dan data pesanan dari tahun 2024 hingga 2026. Selain itu, terdapat 12.873 catatan checkout yang belum dibayar dan kunci WebAuth yang digunakan untuk memverifikasi perangkat asli. Namun, perusahaan menegaskan bahwa tidak ada frasa pemulihan, kunci pribadi, atau informasi pembayaran yang terpengaruh.
Risiko dan Tindakan Respons
Kunci yang terungkap, yang ditanamkan dalam perangkat selama proses pembuatan dan tidak dapat dihapus atau ditulis ulang, dapat memungkinkan pembuatan dompet palsu yang lolos dari pemeriksaan keaslian, sehingga berisiko mencuri aset pengguna.
“Kunci tersebut merupakan dasar kepercayaan untuk mekanisme autentikasi perangkat kami. Jika terungkap, penyerang dapat menggunakannya untuk memproduksi perangkat palsu yang dapat lolos dari pemeriksaan autentikasi. Perangkat ini kemudian dapat dijual atau dikirim kepada pelanggan, yang mungkin tanpa sadar menggunakannya sebagai produk asli, yang berpotensi mengakibatkan pencurian aset. Kami sangat meminta maaf atas insiden ini,” tambah perusahaan.
Sebagai langkah respons, perusahaan menghentikan penggunaan kunci lama dalam produksi, menghancurkan 18.835 perangkat dalam inventaris yang mengandung kunci tersebut, menangguhkan pengiriman pesanan yang belum dikirim, dan beralih ke model pemesanan awal hingga perangkat baru dengan kunci baru siap. Perusahaan juga telah memperpendek masa retensi data dari 180 hari menjadi 90 hari, mengajukan permintaan penghapusan kepada Shopify, dan melaporkan insiden ini kepada regulator di Uni Eropa, Inggris, dan wilayah lainnya.
Peringatan untuk Pengguna
Perangkat yang dikirim sebelum 20 Oktober 2026 tetap valid jika mereka lolos dari autentikasi. Perusahaan mendesak pengguna untuk waspada terhadap penipuan yang mengklaim menawarkan migrasi aset, verifikasi dompet, atau bantuan penyelidikan. Ikuti kami di X, Facebook, dan Telegram untuk mendapatkan informasi terkini. Jangan lewatkan berita penting – berlangganan untuk mendapatkan pemberitahuan email langsung ke kotak masuk Anda. Kami menyediakan informasi tentang masa depan keuangan, termasuk makroekonomi, bitcoin, ethereum, cryptocurrency, dan web 3.
