Produsen hardware wallet kripto SafePal mengungkap kebocoran data yang mengekspos informasi pesanan sekitar 39.798 pelanggan, akibat celah otorisasi pada plugin pihak ketiga yang digunakan perusahaan untuk memungkinkan pelanggan melacak pengiriman mereka.
Celah ini bekerja mirip sistem pelacakan paket tanpa kontrol akses sama sekali: dengan mengubah nomor pesanan pada sebuah permintaan, satu pelanggan bisa melihat detail struk dan pengiriman pelanggan lain. Paparan ini mencakup pesanan yang dibuat antara 2 Maret 2025 hingga 11 April 2026, dan informasi yang bocor meliputi nama pelanggan, alamat email, alamat pengiriman, nomor telepon, serta detail terkait pembelian.
Apa yang Tidak Terdampak
SafePal menyatakan dalam pembaruan keamanan resmi yang diunggah ke blog perusahaan bahwa seed phrase, private key, kata sandi wallet, informasi pembayaran, dan identitas resmi pemerintah tidak terdampak, dan perusahaan tidak menemukan bukti peretas mendapat akses ke wallet kripto atau dana pelanggan mana pun. Bagi produsen hardware wallet, perbedaan ini adalah pembeda antara ketidaknyamanan serius dan bencana pengurasan dana — data yang bocor tetap berpotensi membuka celah bagi pelanggan terdampak terhadap upaya phishing yang ditargetkan, tapi bukan pencurian aset langsung lewat celah itu sendiri.
Respons dan Pemberitahuan
Perusahaan menyatakan telah menambal kerentanan tersebut, meluncurkan langkah-langkah keamanan tambahan, dan memberi tahu seluruh pelanggan terdampak secara individual lewat email. SafePal juga menyatakan telah melibatkan firma keamanan independen pihak ketiga untuk mengaudit perbaikan ini dan meninjau metode pemrosesan pesanan mereka yang lebih luas ke depannya.
Baca juga: Pemegang Token ENS Serahkan Dana Abadi $65 Juta ke Yayasan Resmi Baru
Risiko Berulang bagi Produsen Hardware Wallet
Insiden ini menjadi pengingat bahwa perusahaan hardware wallet kripto membawa dua kategori risiko keamanan yang berbeda: integritas kriptografis perangkat itu sendiri, dan infrastruktur e-commerce yang lebih biasa — pelacakan pesanan, pengiriman, perangkat layanan pelanggan — yang mengelilinginya. Keamanan inti wallet SafePal tampaknya tidak ikut terdampak, tapi kebocoran ini tetap menyerahkan daftar nama asli dan alamat pengiriman yang terkait kepemilikan hardware wallet yang terkonfirmasi kepada peretas, informasi yang sebelumnya pernah dipakai di industri ini untuk menyasar korban lewat panggilan dukungan palsu atau email phishing yang merujuk detail pesanan asli mereka.
