Keystone mengumumkan akan memusnahkan hampir 19.000 dompet perangkat keras yang belum dikirim setelah penyerang memperoleh kunci WebAuth yang dipakai untuk memverifikasi keaslian perangkat. Perusahaan juga mengonfirmasi dugaan kebocoran informasi pengiriman pelanggan, termasuk nama, detail kontak, alamat, dan rincian pesanan. Pengumuman disampaikan di X pada Sabtu, sekitar 18 jam setelah seorang pelanggan melaporkan panggilan social engineering yang memakai informasi pesanan Keystone.
Kebocoran Data Pengiriman dan Kunci Verifikasi
Pada 20 Oktober, Keystone mendeteksi akses tidak sah ke situs resminya. Setelah memverifikasi aktivitas API dengan Shopify pada 23 Oktober, perusahaan menyatakan pihak ketiga memperoleh informasi pengiriman pelanggan. Keystone menegaskan informasi pembayaran sensitif dan kunci dompet tidak terlibat, tetapi memperingatkan adanya pelaku yang mengaku sebagai staf dan menawarkan pengembalian dana, perangkat pengganti, atau “perbaikan” pesanan dan alamat.
Keystone sebelumnya berjanji data pengiriman dihapus permanen 180 hari setelah pesanan. Seorang pengguna yang pertama kali melaporkan potensi kebocoran mengklaim perangkatnya dibeli pada 2024. Pembaruan kemudian menyebut total catatan terdampak hampir 26.000, terbatas pada pembelian via Shopify di situs resmi, ditambah 13.000 catatan pembelian tidak lengkap dengan informasi pesanan sebagian.
Sebanyak 25.000 catatan lain disebut sudah dihapus permanen sesuai kebijakan retensi data. Namun, Keystone mengakui alat penghapusan otomatis tidak beroperasi andal sehingga informasi pribadi tertentu tersimpan melewati periode yang diizinkan. Yang lebih mengkhawatirkan, pembaruan itu memuat pengakuan bahwa penyerang juga memperoleh kunci WebAuth yang digunakan untuk memverifikasi keaslian perangkat. Dompet Keystone yang baru dibuat akan memakai kunci baru, pengiriman dihentikan sementara sampai perubahan dilakukan, dan hampir 19.000 unit inventaris yang belum dikirim akan dimusnahkan.
Foundation Passport dan Gelombang Phishing
Laporan email phishing yang menyasar pengguna Foundation Passport beredar di X sejak Senin pagi. Tangkapan layar menunjukkan taktik menakut-nakuti soal modul layar, diduga terinspirasi perangkat Ledger yang diretas. Produsen mengonfirmasi email spam dikirim dari domain resminya dan melacak sumbernya ke satu atau lebih kunci API Cloudflare yang dikompromikan.
Foundation sebelumnya menjamin data pelanggan dihapus otomatis setelah 60 hari. Dalam pembaruan, mereka menjelaskan lebih dari 20.000 upaya phishing terkirim di sistemnya, tetapi masih menentukan berapa banyak pengguna yang data pribadinya terekspos. Terkait penghapusan 60 hari, Foundation mengklaim penyedia sebelumnya WooCommerce memang membersihkan data pesanan. Namun, selama migrasi basis data, hanya tabel baru yang disunting, sementara salinan lama masih berisi informasi pribadi. Pesanan yang lebih baru via Shopify juga mungkin terekspos.
Rangkaian Insiden Dompet Perangkat Keras
Pengguna dompet perangkat keras mengalami periode sulit dalam beberapa pekan terakhir. Cold storage selama ini dianggap opsi teraman bagi pengguna kripto untuk menyimpan aset, tetapi rangkaian insiden keamanan menyebabkan kerugian besar dan kebocoran data yang akan membuat pengguna waspada selama bertahun-tahun. Di antaranya, skandal spyware Ledger dan bug pembuatan seed Coldcard menyebabkan kerugian lebih dari US$200 juta.
Coldcard juga sempat mengalami kompromi profil X untuk menyebarkan scam phishing kepada 67.000 pengikutnya bulan ini. Meski bukan kebocoran data, insiden itu memalukan karena terjadi dua hari setelah upaya memanfaatkan tekanan publik terhadap Ledger lewat tweet tentang casing bening dompetnya. Kebocoran lain datang dari Ledger, Trezor, dan SafePal. Bagi industri, kasus Keystone dan Foundation Passport menyoroti pentingnya penghapusan data yang benar-benar berjalan, pengelolaan kunci API, dan transparansi insiden. Bagi pengguna, munculnya phishing yang memakai informasi pesanan nyata menuntut kehati-hatian terhadap pesan yang mengaku dari produsen dompet.
