Trezor Ungkap Kebocoran Data yang Berdampak pada Hampir 14.000 Pelanggan
Produsen hardware wallet cryptocurrency Trezor mengungkap insiden kebocoran data yang berdampak pada hampir 14.000 pelanggan setelah penyedia layanan pengiriman dan logistiknya, ShipMonk, mengalami kompromi sistem.
Dalam insiden tersebut, pihak tidak berwenang memperoleh akses ke data pesanan pelanggan yang mencakup nama lengkap, alamat pengiriman, alamat email, dan nomor telepon.
Kebocoran tersebut berdampak pada pelanggan di Amerika Serikat, Inggris, Swedia, Kolombia, Brasil, Italia, dan Portugal yang menerima pesanan antara 10 Mei hingga 8 Agustus 2026.
13.689 Pelanggan Terdampak
Trezor mengatakan ShipMonk memberi tahu perusahaan pada 10 Agustus 2026 mengenai adanya akses tidak sah terhadap sistem yang menyimpan data pelanggan.
Berdasarkan hasil identifikasi sejauh ini, sebanyak 11.742 pelanggan mengalami paparan data secara penuh. Informasi yang terdampak meliputi nama, alamat email, nomor telepon, dan alamat pengiriman.
Sementara itu, 1.947 pelanggan mengalami paparan sebagian, berupa nama, kota, dan alamat email.
Secara keseluruhan, jumlah pelanggan yang terdampak mencapai 13.689 orang.
Trezor menegaskan bahwa insiden tersebut tidak berdampak terhadap operasional maupun layanan perusahaan. Sistem Trezor sendiri tidak berhasil ditembus dan perangkat hardware wallet pelanggan tetap aman.
Meski demikian, perusahaan memperingatkan bahwa informasi yang bocor dapat dimanfaatkan untuk melancarkan serangan phishing yang lebih meyakinkan.
Serangan Berawal dari Infrastruktur Pihak Ketiga
Trezor tidak mengungkapkan secara langsung bagaimana sistem ShipMonk ditembus. Namun, pemberitahuan insiden yang dikirimkan ShipMonk kepada pelanggan memberikan informasi lebih lanjut mengenai sumber kompromi.
ShipMonk menyatakan bahwa pada 6 Agustus 2026, Metabase memberi tahu mereka mengenai eksploitasi vulnerability pada software analytics tersebut.
Pihak tidak berwenang disebut berhasil memanfaatkan vulnerability Metabase untuk mengakses data yang berkaitan dengan akun ShipMonk dan para pelanggannya.
Setelah menerima pemberitahuan tersebut, Metabase dilaporkan telah memperbaiki vulnerability yang dieksploitasi dan membatalkan seluruh active session.
ShipMonk juga memulai investigasi teknis secara menyeluruh dengan bantuan ahli teknologi informasi eksternal untuk menentukan dampak insiden.
Memanfaatkan Zero-Day Metabase
Kompromi terhadap ShipMonk berkaitan dengan rangkaian serangan yang mengeksploitasi critical SQL injection zero-day pada Metabase.
Dalam serangan tersebut, threat actor dapat membobol instance Metabase milik pelanggan setelah memperoleh administrator access, kemudian menggunakan akses tersebut untuk melakukan data theft.
Metabase merupakan platform analytics yang digunakan organisasi untuk mengolah, menganalisis, dan memvisualisasikan data. Ketika instance Metabase berhasil dikompromikan, penyerang berpotensi memperoleh akses terhadap informasi yang dapat dijangkau dari lingkungan tersebut.
Selain ShipMonk, perusahaan lain seperti pembuat laptop Framework dan platform online form Tally juga sebelumnya mengungkap insiden kebocoran data setelah instance Metabase mereka berhasil diambil alih.
ShipMonk Menerima Email Pemerasan
Perkembangan lain dalam insiden tersebut menunjukkan bahwa ShipMonk juga menerima email pemerasan dari kelompok ShinyHunters.
Hal ini menambah kekhawatiran terhadap kemungkinan pemanfaatan data yang berhasil diakses untuk aktivitas lanjutan, termasuk pemerasan maupun serangan social engineering terhadap perusahaan dan pelanggan.
Bagi pengguna Trezor, risiko terbesar dari insiden ini bukan berarti hardware wallet mereka telah diretas. Yang lebih dikhawatirkan adalah informasi pribadi yang bocor dapat digunakan untuk membangun serangan phishing yang jauh lebih meyakinkan.
Pelanggan Berpotensi Menjadi Target Phishing
Trezor meminta pelanggan terdampak untuk berhati-hati terhadap pesan yang meminta informasi pribadi.
Dengan mengetahui nama, alamat, nomor telepon, dan email korban, pelaku dapat membuat komunikasi palsu terlihat seolah-olah berasal dari pihak yang terpercaya.
Pelaku dapat mengirim email palsu, melakukan panggilan telepon, mengirim surat, atau menyamar sebagai bank, crypto exchange, maupun Trezor.
Pengguna hardware wallet perlu memberikan perhatian khusus terhadap serangan semacam ini. Pelaku dapat mencoba menggunakan informasi yang bocor untuk meyakinkan korban agar menyerahkan data keamanan yang jauh lebih sensitif.
Yang paling penting, 24-word recovery seed tidak boleh diberikan kepada siapa pun. Trezor maupun layanan cryptocurrency yang sah tidak membutuhkan recovery seed pengguna melalui email, telepon, pesan, atau formulir online.
Trezor Pernah Mengalami Kebocoran Data
Ini bukan pertama kalinya Trezor menghadapi insiden kebocoran melalui sistem pihak ketiga.
Pada Januari 2024, Trezor mengungkap insiden yang melibatkan portal ticketing support pihak ketiga. Saat itu, data hingga 66.000 pengguna yang pernah berinteraksi dengan Trezor Support sejak Desember 2021 berpotensi terekspos.
Data yang terdampak mencakup nama, username, dan alamat email.
Setelah insiden tersebut, Trezor mengonfirmasi bahwa informasi yang dicuri kemudian digunakan dalam serangan phishing. Pelaku mencoba menipu pengguna agar menyerahkan 24-word recovery seed yang diberikan ketika hardware wallet pertama kali dikonfigurasi.
Kasus tersebut menunjukkan bahwa kebocoran informasi kontak dapat menjadi tahap awal serangan yang menargetkan aset cryptocurrency, meskipun perangkat hardware wallet itu sendiri tidak berhasil ditembus.
Risiko Rantai Pasok Digital
Insiden Trezor juga memperlihatkan bagaimana keamanan data pelanggan dapat dipengaruhi oleh vendor pihak ketiga.
Perusahaan tidak harus mengalami kompromi langsung pada sistem internal untuk menghadapi kebocoran data. Penyedia logistik, customer support, analytics, maupun layanan lainnya dapat menyimpan informasi pelanggan dan menjadi titik masuk bagi penyerang.
Karena itu, keamanan supply chain tidak hanya berkaitan dengan software yang digunakan perusahaan, tetapi juga bagaimana vendor menyimpan, memproses, dan melindungi data pelanggan.
Bagi pelanggan Trezor yang terdampak, kewaspadaan terhadap phishing dan social engineering menjadi langkah penting. Kebocoran data pengiriman tidak menunjukkan bahwa recovery seed atau cryptocurrency yang tersimpan di hardware wallet telah dicuri, tetapi informasi pribadi yang terekspos dapat membuat serangan berikutnya lebih sulit dikenali.
Sumber: Trezor
