SafePal Ungkap Celah Keamanan yang Bocorkan Data 39.798 Pelanggan

SafePal, produsen dompet perangkat keras cryptocurrency, mengumumkan adanya flaw atau celah keamanan pada sistem pelacakan pesanan yang mengakibatkan bocornya data pribadi hampir 39.798 pelanggan. Data yang terekspos meliputi nama lengkap, alamat email, alamat pengiriman, nomor telepon, dan rincian pembelian, namun tidak termasuk kredensial dompet atau informasi keuangan.

Perusahaan mengirimkan pemberitahuan langsung kepada seluruh pelanggan terdampak melalui email resmi [email protected] pada tanggal 16 Agustus 2026, dengan subjek "[Penting] Informasi Pesanan SafePal Anda Telah Terpengaruh." SafePal menegaskan bahwa tidak ada akses yang berhasil ke seed phrase, kunci privat, kata sandi dompet, nomor rekening bank, kartu pembayaran, ataupun data identitas pemerintah.

Celah Keamanan pada Plugin Pelacakan Pesanan

Menurut SafePal, pada kondisi tertentu, celah tersebut memungkinkan pihak tidak berwenang mengakses informasi pesanan pelanggan lain. Namun, perusahaan tidak mengungkapkan nama plugin, vendor, maupun versi yang terpengaruh, dan hingga kini belum ada CVE identifier resmi yang diterbitkan untuk masalah ini.

Data yang terekspos berasal dari pesanan yang dilakukan antara 2 Maret 2025 hingga 11 April 2026. Perusahaan menyatakan tanggal tersebut merupakan rentang waktu pesanan, bukan periode celah bisa dieksploitasi. SafePal belum mengonfirmasi kapan akses tidak sah dimulai dan berakhir, berapa banyak pihak yang mengakses data, atau bagaimana celah ini pertama kali ditemukan.

Risiko Penipuan dan Serangan Phishing

Karena data yang bocor mengaitkan identitas pengguna dengan alamat rumah dan detail pembelian, SafePal mengingatkan potensi risiko penipuan seperti:

• Telepon, email, atau pesan teks palsu
• Surat penipuan dan tawaran pengembalian dana palsu
• Permintaan pembaruan firmware yang tidak resmi
• Komunikasi palsu dari "layanan pelanggan"

Perusahaan menegaskan bahwa data ini tidak mencakup alamat dompet, saldo, ataupun informasi kepemilikan aset kripto.

"Tangani setiap kontak atau pengiriman perangkat keras yang tidak diharapkan terkait pembelian SafePal Anda dengan sangat berhati-hati," ujar SafePal.

Konteks Kejahatan Siber dan Dampak pada Pemilik Crypto

Menurut firma analitik blockchain Chainalysis, hingga Juni 2026 telah terjadi 46 insiden kriminal kekerasan terkait data pencurian di seluruh dunia dengan kerugian mencapai lebih dari 30 juta dolar AS. Di Prancis, kasus meningkat drastis dari hanya beberapa kasus sebelum 2025 menjadi 30 kasus pada pertengahan 2026, sebagian besar terkait pencurian data pajak pemilik crypto. Namun, hanya 26% dari upaya tersebut berhasil mendapatkan pembayaran, turun dari 49% di tahun sebelumnya.

"Para pelaku kejahatan menyadari bahwa pemilik crypto adalah target bernilai tinggi karena kekayaan mereka dapat ditransfer secara instan dan tidak dapat dibatalkan," jelas Chainalysis.

Proses Pembersihan Data dan Penanganan Insiden

SafePal mengungkapkan bahwa proses pembersihan data otomatis sempat berhenti berfungsi dengan baik antara September 2025 hingga April 2026 akibat kesalahan konfigurasi, sehingga data pesanan lama tersimpan lebih lama dari yang seharusnya. Namun, perusahaan memastikan bahwa masalah ini bukan penyebab akses tidak sah.

Sementara itu, pesaing SafePal, Trezor, baru saja mengumumkan pelanggaran data terkait mitra pengiriman ShipMonk, namun membatasi eksposurnya berkat kebijakan penyimpanan data selama 90 hari yang sudah diterapkan.

SafePal pertama kali menerima laporan terkait masalah ini pada awal Mei 2026 dan awalnya menangani sebagai kasus terisolasi. Namun, setelah penyelidikan lebih mendalam, perusahaan meningkatkan perlindungan dan melakukan audit keamanan menyeluruh pada sistem pemrosesan pesanan sejak Juli 2026.

Penjualan Data di Forum Kejahatan Siber

Baru-baru ini, seorang pelaku kejahatan siber menawarkan dataset yang diduga hasil dari pelanggaran ini di forum cybercrime. Dataset tersebut mencakup rentang waktu pesanan dan jumlah pelanggan yang sama, serta memberikan opsi bagi calon pembeli untuk memverifikasi data melalui alat verifikasi milik SafePal.

Hingga saat ini, SafePal belum memberikan pernyataan resmi terkait keberadaan listing tersebut di blog, halaman insiden, maupun akun resmi mereka di X (sebelumnya Twitter).

Tindakan Perbaikan dan Pencegahan SafePal

• Celah keamanan telah diperbaiki dengan langkah perlindungan tambahan.
• Periode penyimpanan data pribadi dikurangi menjadi 90 hari sesuai regulasi yang berlaku.
• Data pelanggan terdampak telah dihapus dari server aktif, dengan cadangan offline yang aman untuk investigasi.
• Menggandeng perusahaan keamanan independen untuk validasi perbaikan dan audit sistem pemrosesan pesanan secara menyeluruh.
• Berkoordinasi dengan mitra logistik untuk memastikan tidak ada penyebaran masalah pada sistem mereka.
• Lebih dari 30 situs web dan tautan phishing yang terkait dengan penipuan telah diturunkan.
• Membuat halaman cek status pesanan menggunakan nomor ID dan negara pengiriman serta saluran dukungan khusus bagi pelanggan.

SafePal menyarankan agar pelanggan tidak perlu memindahkan aset hanya karena kebocoran ini, kecuali jika pernah memasukkan seed phrase atau kunci privat sebagai respons terhadap pesan mencurigakan, yang berarti dompet tersebut harus dianggap compromised.

Analisis Redaksi

Menurut pandangan redaksi, insiden yang menimpa SafePal ini menggarisbawahi betapa rentannya data pendukung ekosistem crypto, bukan hanya data dompet atau kunci privat. Kebocoran informasi pribadi terkait pesanan dapat membuka celah bagi penipuan sosial (social engineering) yang berbahaya, yang seringkali menjadi gerbang awal bagi pencurian aset kripto.

Meski SafePal mengklaim tidak ada data dompet yang terekspos, pengguna harus tetap waspada terhadap segala bentuk kontak yang mencurigakan, karena penipu semakin canggih dan dapat menggunakan data tersebut untuk meyakinkan korban agar membocorkan informasi sensitif. Langkah SafePal untuk memangkas masa simpan data dan memperketat kontrol keamanan adalah langkah tepat namun harus dikawal dengan edukasi konsumen yang intensif.

Mengingat tren serangan siber yang semakin meningkat, terutama terhadap pemilik crypto, perusahaan dompet digital dan hardware wallet wajib mengadopsi standar keamanan yang lebih ketat serta transparansi penuh agar kepercayaan pengguna tidak luntur. Pembaca disarankan untuk selalu mengikuti update keamanan dari penyedia dompet dan melaporkan aktivitas mencurigakan segera.

Untuk informasi lebih lengkap dan perkembangan terkini, Anda dapat merujuk langsung ke sumber aslinya di The Hacker News dan media berita teknologi terpercaya lainnya.