Trezor Konfirmasi Kebocoran Data Email, Ratusan Ribu Pemilik Kripto Jadi Sasaran Scammer

Industri kripto kembali diguncang oleh isu keamanan klasik yang kerap terabaikan: kerentanan rantai pasok pihak ketiga (third-party supply chain). Produsen dompet kripto perangkat keras (hardware wallet) terkemuka, Trezor, baru saja merilis peringatan darurat kedua kalinya dalam dua bulan terakhir kepada para penggunanya. Salah satu mitra eksternal mereka kembali menjadi korban peretasan, yang berujung pada tereksposnya data sensitif pelanggan ke tangan para pelaku kejahatan siber.

Kali ini, serangan siber menyasar Brevo, sebuah perusahaan teknologi pemasaran yang diandalkan Trezor untuk mengirimkan buletin berita (newsletter). Akibat peretasan ini, para peretas berhasil mengirimkan sekitar 347.000 email phishing kepada para pengguna Trezor. Email manipulatif tersebut dirancang seolah-olah dikirim langsung oleh Trezor, lengkap dengan tautan berbahaya yang mengarah pada pengunduhan aplikasi palsu.

Ketika korban mengeklik tautan tersebut, mereka akan diminta untuk memasukkan kata sandi cadangan (seed phrase) dompet digital mereka. Salah satu subjek email jebakan yang diidentifikasi berbunyi: “Critical Security Alert: STM32 Entropy Vulnerability.” Jika peretas berhasil menguasai kata sandi cadangan ini, mereka dapat menguras seluruh aset kripto korban di blockchain publik secara instan tanpa bisa dibatalkan.

Kelemahan Sistem Akses Brevo

Pihak Brevo mengonfirmasi insiden tersebut melalui laporan status mereka. Peretas dilaporkan berhasil menyusup ke 138 akun Brevo untuk melancarkan kampanye phishing massal ini. Investigasi menunjukkan adanya celah keamanan pada pembatasan hak akses (scope access) yang tidak dikonfigurasi dengan benar. Akibatnya, akun peretas secara keliru mendapatkan akses luas ke seluruh organisasi yang terhubung dalam jaringan Brevo.

Trezor menegaskan bahwa sistem internal mereka, produk dompet fisik, maupun akun pengguna langsung tidak terdampak oleh insiden ini. Namun, kasus ini mempertegas pola serangan modern: peretas tidak perlu membobol benteng utama yang kokoh, melainkan cukup menyasar mitra pihak ketiga yang menangani operasional harian seperti pengiriman barang atau pemasaran.

Dari Ancaman Digital hingga Teror Fisik

Ini adalah pukulan kedua bagi reputasi keamanan ekosistem pendukung Trezor. Pada Agustus lalu, mitra logistik mereka, ShipMonk, juga mengalami kebocoran data yang mengekspos nama, nomor telepon, alamat email, hingga alamat pengiriman fisik milik sedikitnya 81.000 pelanggan Trezor.

Kebocoran data fisik semacam ini membawa risiko yang jauh lebih mengerikan dibanding sekadar kehilangan aset digital. Para pemilik aset kripto kini dihantui oleh ancaman kekerasan fisik terarah, termasuk skenario serangan pemerasan fisik (wrench attacks), di mana pelaku mendatangi alamat korban secara langsung untuk memaksa mereka menyerahkan kunci akses dompet kripto di bawah ancaman kekerasan.

Pasca-kebocoran data di ShipMonk, beberapa pengguna bahkan melaporkan telah menerima surat fisik yang dikirim langsung ke rumah mereka. Surat tersebut mencantumkan kode QR yang jika dipindai akan mengarahkan korban ke situs web palsu yang dirancang khusus untuk mencuri kredensial dompet kripto mereka.

Langkah Antisipasi dan Evaluasi Vendor

Menanggapi rangkaian insiden ini, pihak Trezor menyatakan tengah melakukan evaluasi menyeluruh terhadap hubungan kerja sama dengan seluruh vendor pihak ketiga mereka. Perusahaan juga mengimbau para pengguna untuk tetap waspada tinggi, mengingat alamat email yang telah bocor sangat rentan menjadi target serangan phishing lanjutan di masa mendatang. Pengguna disarankan untuk tidak pernah membagikan seed phrase atau kata sandi dompet mereka kepada pihak mana pun, termasuk pihak yang mengatasnamakan Trezor.