Produsen hardware wallet Trezor mengungkapkan bahwa kebocoran data di penyedia jasa pengiriman dan fulfillment pihak ketiga, ShipMonk, membocorkan data pribadi dan pesanan milik 13.689 pelanggan terbaru. Trezor menyatakan pada 10 Agustus bahwa ShipMonk telah melaporkan adanya akses tidak sah ke sistem yang menyimpan informasi pesanan pelanggan.
Tingkat eksposur data ini tidak seragam untuk seluruh pelanggan yang terdampak. Dari total 13.689 pelanggan, 11.742 di antaranya mengalami eksposur penuh — nama, alamat email, nomor telepon, dan alamat pengiriman — sementara 1.947 sisanya hanya mengalami eksposur sebagian berupa nama, kota, dan email. Kebocoran ini mencakup pesanan yang dibuat antara 10 Mei hingga 8 Agustus 2026, dengan pengiriman terdampak mencakup Amerika Serikat, Inggris, Swedia, Kolombia, Brasil, Italia, dan Portugal.
Akar Masalah Dilacak ke Vendor Ketiga
Rantai kejadian di balik kebocoran ini bahkan berjalan lebih jauh lagi dari sekadar satu mitra fulfillment. Pada 6 Agustus 2026, penyedia analitik Metabase memberi tahu ShipMonk bahwa pihak tidak sah telah mengeksploitasi kerentanan pada perangkat lunak Metabase sendiri untuk mengakses data akun pelanggan ShipMonk. Dengan kata lain, kebocoran ini melewati dua vendor pihak ketiga yang berbeda sebelum akhirnya menyentuh data pelanggan Trezor. Trezor memaparkan kronologi lengkap dan responsnya dalam pengumuman insiden resminya sendiri.
Wallet dan Firmware Tidak Tersentuh, Tapi Risiko Nyata Tetap Ada
Trezor menegaskan bahwa insiden ini tidak menyentuh infrastruktur, wallet, atau firmware perusahaan — kebocoran hanya menyangkut data pengiriman dan kontak. Meski begitu, risikonya tetap berarti bagi basis pelanggan perusahaan hardware wallet secara khusus: alamat rumah yang bocor dan terhubung dengan pembelian Trezor yang terkonfirmasi adalah persis jenis sinyal yang dicari penyerang saat menargetkan orang yang bisa mereka asumsikan secara wajar memegang saldo kripto signifikan, baik lewat phishing, penipuan surat fisik, maupun upaya rekayasa sosial yang lebih langsung. Trezor mencatat ini merupakan kebocoran pertama sejak perusahaan berdiri pada 2013 yang membocorkan nomor telepon dan alamat rumah pelanggan.
Baca juga: Iklan Google Palsu Tiru Hyperliquid, Gasak Dana Pengguna $550.000
Respons yang Menyasar Penghapusan Data Secara Menyeluruh
Perbaikan Trezor menyasar permukaan eksposur yang mendasarinya, bukan sekadar insiden tunggal ini. Perusahaan mengatakan berencana meluncurkan opsi “Anonymous Delivery” di Uni Eropa pada September 2026 dan di AS pada akhir tahun, termasuk pengambilan lewat loker dan penghapusan otomatis pengenal pengiriman begitu pengantaran selesai — pendekatan yang dimaksudkan agar pesanan mendatang meninggalkan lebih sedikit data identitas yang tersimpan di vendor pengiriman mana pun sejak awal.
