Foundation, pembuat dompet perangkat keras Passport, mengonfirmasi dalam pembaruan investigasi bahwa email phishing yang dikirim dari domain resminya terkait dengan API key Cloudflare yang dikompromikan. Perusahaan menyatakan data pelanggan berada di sistem yang dapat dijangkau penyerang, tetapi sejauh ini tidak menemukan bukti bahwa perangkat Passport atau private key-nya terdampak.
Temuan Awal Investigasi Foundation
Dalam pengumuman di platform X, Foundation menyatakan email spam telah dikirim kepada pengguna dan tampak berasal dari domain resmi perusahaan. Investigasi kemudian menelusuri masalah tersebut ke setidaknya satu API key Cloudflare yang dikompromikan. Setelah temuan itu, Foundation mencabut semua API key dan menurunkan domain berbahaya yang digunakan dalam email spam.
Pada pembaruan berikutnya, Foundation mengungkap telah mengidentifikasi lebih dari 23.000 upaya email phishing di sistem emailnya. Sekitar 19.000 pesan dikirim melalui Mailgun dan lebih dari 1.500 melalui Google Workspace. Menurut perusahaan, sejumlah alamat menerima beberapa pesan, sementara upaya lain gagal atau dihentikan sebelum terkirim.
Beberapa hari sebelumnya, Foundation sempat mengingatkan pengikutnya di platform media sosial bahwa akun email berpotensi menjadi “titik kegagalan terbesar” dalam keamanan digital. Perusahaan menyarankan pengguna mengamankan email dengan kata sandi kuat dan unik, menggunakan alamat berbeda untuk akun penting, serta mengaktifkan passkey atau autentikasi berbasis perangkat keras bila tersedia.
Data Lama WooCommerce dan Langkah Pengamanan
Berdasarkan investigasi awal, catatan pesanan dari WooCommerce, layanan yang pernah digunakan Foundation, bertahan dalam migrasi basis data. Padahal, catatan pelanggan seharusnya dihapus 60 hari setelah pengiriman. Proses migrasi memperbarui tabel yang lebih baru di dasbor toko, tetapi salinan data tetap berada di tabel lama; detail tambahan juga masih tersimpan dalam catatan pengembalian dana, keranjang yang ditinggalkan, dan formulir kontak.
Foundation menyebut 5.000 alamat yang menerima email phishing tidak tampak dalam catatan WooCommerce maupun Shopify, platform yang digunakan setelah migrasi. Untuk mengantisipasi risiko, perusahaan merotasi kunci di seluruh sistemnya, termasuk kunci yang belum dipastikan diakses. Foundation juga menyimpan salinan data WooCommerce lama secara offline untuk kebutuhan penyelidik dan akan menghapusnya permanen setelah investigasi selesai.
“Kami tidak menemukan bukti bahwa insiden ini mengompromikan perangkat Passport atau private key yang disimpannya,” tulis Foundation.
Rangkaian Kebocoran pada Produsen Dompet Lain
Insiden yang menimpa Foundation terjadi di tengah sejumlah kasus kebocoran data yang menimpa produsen dompet kripto. Pada Agustus, ShipMonk, penyedia layanan bagi Trezor, kehilangan informasi lebih dari 67.000 pengguna dompet tersebut, termasuk nama, kota, dan email.
Pada Oktober, peneliti on-chain menyatakan bahwa crypto senilai hingga 80 juta dolar AS mungkin dicuri dari pengguna Ledger yang membeli dompet perangkat keras dari CryptoBilis, reseller resmi di Asia Tenggara. Setidaknya satu dompet yang terdampak disebut memiliki implan tidak resmi. Sehari sebelum Foundation mengungkap insidennya, Keystone Wallet melaporkan masalah keamanan tersendiri: pada 20 Oktober, pihak tidak berwenang mengakses situs resminya dan memperoleh informasi pengiriman pelanggan, seperti alamat pengiriman dan produk yang dibeli. Keystone menyatakan kata sandi dompet dan private key tidak dikompromikan, begitu pula informasi bank dan detail kartu pembayaran pengguna.
Deretan insiden tersebut menunjukkan bahwa perlindungan data pelanggan tetap menjadi tantangan bagi produsen dompet kripto, meski masing-masing perusahaan menegaskan private key dan perangkat pengguna tidak terdampak. Foundation menyatakan investigasi masih berlanjut, sementara rotasi kunci tengah dilakukan dan data lama akan dihapus permanen setelah proses pemeriksaan selesai.
