Kebocoran Data SafePal Berdampak pada 39.798 Pelanggan, Data Dicuri Ditawarkan untuk Dijual

Penyedia hardware wallet cryptocurrency SafePal mengungkap insiden kebocoran data yang berdampak pada sekitar 39.798 pelanggan setelah attacker mengeksploitasi celah keamanan pada sistem pemrosesan pesanan.

Informasi pelanggan yang dicuri kini diklaim telah ditawarkan untuk dijual di forum cybercrime. SafePal menyatakan insiden tersebut memengaruhi pelanggan yang melakukan pemesanan antara 2 Maret 2025 hingga 11 April 2026.

Data yang terekspos mencakup nama, alamat email, alamat pengiriman, nomor telepon, serta informasi pembelian.

Namun, SafePal menegaskan bahwa insiden tersebut tidak mengekspos seed phrase, private key, password, informasi rekening bank, nomor kartu pembayaran, identitas resmi pemerintah, maupun credentials lainnya.

Perusahaan juga menyatakan tidak menemukan bukti bahwa insiden tersebut memberikan akses langsung ke wallet atau dana cryptocurrency milik pelanggan.

Celah Order Tracking Dimanfaatkan untuk Mencuri Data

Investigasi SafePal menemukan bahwa sumber masalah berasal dari authorization flaw pada fungsi order tracking dalam sebuah plug-in yang digunakan sistem e-commerce perusahaan.

Celah tersebut memungkinkan pihak yang tidak memiliki hak akses untuk memperoleh informasi pesanan pelanggan lain.

Masalah ini ditemukan setelah SafePal melakukan full review dan rebuild terhadap sistem pemrosesan pesanan pada Juli 2026.

Perusahaan kemudian memperbaiki vulnerability tersebut dan menerapkan sejumlah security measures tambahan. SafePal juga bekerja sama dengan security firm pihak ketiga untuk memvalidasi perbaikan serta melakukan pemeriksaan lebih luas terhadap sistem pemrosesan pesanan.

Namun, investigasi tersebut mengungkap bahwa attacker telah memanfaatkan celah tersebut untuk mengambil informasi pesanan milik sekitar 39.798 pelanggan.

Data Pelanggan Diklaim Dijual di Forum Cybercrime

Seorang threat actor kini mengklaim memiliki dan menjual data pelanggan SafePal yang dicuri.

Informasi yang ditawarkan disebut mencakup periode pemesanan yang sama dengan rentang yang diungkap SafePal, dengan jumlah sekitar 39.798 pelanggan.

Untuk meyakinkan calon pembeli, pelaku bahkan menawarkan order ID dan shipping country dari data yang diklaim dicuri. Informasi tersebut dapat dibandingkan dengan tool verifikasi yang disediakan SafePal untuk memastikan apakah suatu pesanan termasuk dalam data yang terdampak.

Namun, kepemilikan data tersebut belum dapat diverifikasi secara independen.

Jika data tersebut memang berada di tangan attacker, informasi seperti nama, alamat email, nomor telepon, dan alamat pengiriman dapat menjadi bahan untuk melakukan targeted phishing dan social engineering.

SafePal Sudah Menerima Laporan Phishing Sejak Mei

SafePal pertama kali menerima laporan yang konsisten dengan insiden tersebut pada awal Mei 2026. Saat itu, perusahaan menganggapnya sebagai kasus terisolasi.

Namun, pada periode yang sama, terdapat pelanggan yang melaporkan menerima phishing email dan panggilan telepon dari seseorang yang mengaku sebagai karyawan SafePal.

Dalam salah satu modus yang dilaporkan, email phishing mengklaim bahwa ditemukan security vulnerability pada hardware wallet SafePal X1 dan meminta korban melakukan firmware update untuk memperbaikinya.

SafePal kemudian meningkatkan investigasi setelah mempertimbangkan kemungkinan bahwa sistem e-commerce mereka terdiri dari banyak komponen yang saling terhubung, external integrations, serta third-party logistics partners.

Kondisi tersebut membuat perusahaan tidak dapat langsung menentukan sumber masalah hanya berdasarkan laporan awal.

Kesalahan Konfigurasi Memperpanjang Retensi Data

Selama investigasi, SafePal menemukan masalah keamanan lain yang berbeda dari authorization flaw.

Sebuah configuration error menyebabkan proses data cleanup tidak berjalan dengan benar antara September 2025 hingga April 2026.

Akibatnya, sejumlah order data yang seharusnya telah dihapus tetap tersimpan di sistem. Data yang terdampak bahkan dapat berasal dari pesanan sejak Maret 2025.

Kondisi tersebut meningkatkan jumlah informasi yang tersedia bagi attacker setelah berhasil mengeksploitasi celah order tracking.

SafePal mengatakan data pribadi dari pesanan yang terdampak telah dihapus dari active e-commerce servers. Namun, perusahaan masih menyimpan salinan terenkripsi secara offline untuk kebutuhan investigasi penegak hukum apabila diperlukan.

Lebih dari 30 Situs Phishing Telah Ditutup

SafePal memperingatkan bahwa data yang bocor dapat digunakan untuk membuat serangan phishing yang jauh lebih meyakinkan.

Attacker dapat menggunakan informasi pesanan untuk membuat komunikasi yang tampak berasal dari SafePal, misalnya dengan mengaitkannya dengan firmware upgrade, product return, refund, atau bahkan penyelidikan hukum.

Perusahaan mengatakan telah menemukan dan menonaktifkan lebih dari 30 fraudulent websites dan phishing links yang berkaitan dengan insiden ini.

SafePal juga telah mengirimkan pemberitahuan kepada seluruh pelanggan yang terdampak pada 16 Agustus dengan subjek email yang memberi tahu bahwa informasi pesanan mereka telah terkena dampak insiden.

Selain itu, perusahaan menyediakan online verification tool yang memungkinkan pelanggan memeriksa apakah informasi pesanan mereka termasuk dalam data yang dicuri dengan memasukkan order number dan shipping country.

Pelanggan Tidak Perlu Mengganti Hardware Wallet

SafePal menegaskan bahwa pelanggan yang hanya terdampak kebocoran informasi pesanan tidak perlu mengganti hardware wallet atau memindahkan cryptocurrency mereka.

Kebocoran tersebut tidak mencakup wallet seed phrases maupun private keys, sehingga tidak secara langsung memberikan attacker kemampuan untuk mengakses aset cryptocurrency yang tersimpan di wallet pelanggan.

Namun, situasinya berbeda apabila pelanggan sudah memberikan seed phrase atau private key kepada pihak lain sebagai respons terhadap phishing email, pesan, atau panggilan telepon.

Jika hal tersebut terjadi, wallet harus dianggap telah compromised. Aset yang masih tersisa sebaiknya segera dipindahkan ke wallet baru menggunakan perangkat SafePal yang terpercaya atau aplikasi resmi.

Waspadai Phishing yang Menggunakan Data Pesanan

Kasus SafePal menunjukkan bahwa kebocoran data yang tidak secara langsung berisi private key tetap dapat menjadi ancaman serius bagi pengguna cryptocurrency.

Informasi seperti nama, alamat email, nomor telepon, alamat pengiriman, dan riwayat pembelian dapat digunakan untuk membuat social engineering attack yang lebih meyakinkan.

Pengguna sebaiknya tidak pernah memberikan seed phrase atau private key kepada siapa pun, termasuk pihak yang mengaku sebagai customer support. Permintaan untuk melakukan firmware update melalui tautan yang dikirim lewat email atau pesan juga perlu diverifikasi melalui kanal resmi.

Khusus bagi pelanggan SafePal yang terdampak, kebocoran informasi pesanan tidak dengan sendirinya berarti cryptocurrency mereka telah dicuri. Risiko terbesar saat ini adalah attacker menggunakan data tersebut untuk membangun serangan phishing yang menargetkan akses ke wallet dan aset cryptocurrency.