Produsen dompet kripto perangkat keras Keystone akan menghancurkan 18.835 perangkat yang masih tersimpan di gudangnya. Keputusan itu diambil setelah penyerang membobol situs resmi perusahaan pada 20 Oktober dan membawa kabur kunci WebAuth, yaitu kunci yang dipakai untuk memeriksa keaslian perangkat. Pengumuman Keystone terbit pada 26 Oktober 2026.
Apa yang diambil penyerang
Menurut laporan crypto.news yang mengutip pengumuman Keystone, penyerang masuk lewat celah di alat pemantau data pihak ketiga yang terpasang di situs. Dari sana mereka mengambil 25.964 data pembelian pelanggan beserta kunci WebAuth. TechFlow menambahkan angka 12.873 data checkout yang belum dibayar. Keystone tidak menyebut nama alat pemantau itu dalam laporan yang kami baca.
Keystone menegaskan frasa pemulihan, kunci privat, dan kredensial dompet tidak ikut bocor. Kabar ini penting karena aset pengguna tidak berpindah tangan. Risikonya ada di tempat lain: dengan kunci WebAuth, penyerang bisa membuat perangkat palsu yang lolos pemeriksaan keaslian. Pembeli baru bisa saja menerima dompet tiruan yang terlihat sah, lalu memasukkan frasa pemulihannya ke perangkat milik penyerang.
Karena itu Keystone menghancurkan seluruh stok yang memuat kunci lama, menghentikan pengiriman pesanan yang belum terkirim, dan hanya menjual lewat pre-order sampai perangkat dengan kunci baru siap. Menurut PANews, perusahaan juga memangkas masa simpan data pelanggan dari 180 hari menjadi 90 hari.
Langkah yang perlu diambil pemilik dompet
Keystone menyatakan perangkat yang diterima sebelum 20 Oktober dan lolos pemeriksaan keaslian dianggap aman. Pemilik tidak perlu memindahkan kripto mereka. Yang menerima perangkat setelah 20 Oktober dengan kunci lama diminta menghubungi layanan pelanggan untuk verifikasi tambahan sebelum memakainya, karena menurut PANews risiko pemalsuan belum bisa dikesampingkan sepenuhnya.
Keystone juga melarang pelanggan mengirim balik dompet. Siapa pun yang meminta Anda mengirim perangkat dengan alasan penarikan produk atau recall adalah penipu. Waspadai pula pesan yang menawarkan migrasi aset, verifikasi dompet, atau bantuan investigasi. Data pembelian yang bocor memudahkan penipu menyusun pesan yang terdengar meyakinkan, jadi periksa pengirimnya sebelum membalas dan jangan pernah mengetik frasa pemulihan di situs atau aplikasi mana pun.
Dampak bagi pembaca di Indonesia
Pengguna kripto di Indonesia yang membeli Keystone langsung dari situs resminya mungkin ikut masuk daftar data yang terambil. Keystone berencana membuka halaman pengecekan agar pelanggan bisa memastikan datanya terpapar atau tidak, dan sedang mengirim pemberitahuan lewat surel. Insiden ini juga mengingatkan bahwa dompet kripto tetap bisa diserang dari sisi perangkat lunak dan pihak ketiga, seperti kasus celah server jahat di Electrum yang kami bahas sehari sebelumnya. Beli dompet perangkat keras hanya dari saluran resmi, lalu jalankan pemeriksaan keaslian begitu perangkat tiba.
Sumber: crypto.news, PANews, dan TechFlow. Gambar: crypto.news.