Data 39.798 Pelanggan SafePal Bocor, Waspada Penipuan Kripto

SafePal mengungkap insiden keamanan yang menyebabkan data pribadi 39.798 pelanggan terekspos. Kebocoran berasal dari celah otorisasi pada plug-in pelacakan pesanan yang memungkinkan pihak tidak berwenang mengakses informasi pesanan pelanggan lain.

Data yang terekspos meliputi nama, alamat email, nomor telepon, alamat pengiriman, hingga informasi pembelian. Meski demikian, SafePal memastikan insiden tersebut tidak melibatkan seed phrase, private key, password wallet, informasi rekening bank, maupun nomor kartu pembayaran.

Produsen hardware wallet tersebut mengatakan seluruh pelanggan yang terdampak telah diberi tahu secara individu melalui email pada 16 Agustus 2026. Pemberitahuan dikirim dari alamat security@safepal.com dengan subjek "[Important] Your SafePal Order Information Has Been Affected."

SafePal menegaskan sejauh penyelidikan yang telah dilakukan, tidak ditemukan bukti bahwa kebocoran data tersebut menyebabkan akses langsung terhadap wallet atau dana pelanggan.

Celah Otorisasi Buka Data Pesanan Pelanggan

Menurut SafePal, masalah terjadi akibat celah otorisasi dalam plug-in yang digunakan untuk melacak pesanan. Dalam kondisi tertentu, kelemahan tersebut memungkinkan seseorang mengakses informasi pesanan milik pelanggan lain tanpa izin.

SafePal belum mengungkap nama plug-in, perusahaan penyedianya, maupun versi perangkat lunak yang terdampak. Celah tersebut juga belum memiliki nomor identifikasi Common Vulnerabilities and Exposures (CVE). Data yang masuk dalam cakupan insiden berasal dari pesanan yang dibuat antara 2 Maret 2025 hingga 11 April 2026.

Namun, SafePal menegaskan rentang tanggal tersebut bukan berarti celah keamanan aktif sepanjang periode tersebut. Tanggal tersebut hanya menunjukkan kapan pesanan yang datanya terdampak dibuat.

Perusahaan belum menjelaskan secara terbuka kapan akses tanpa izin mulai terjadi, kapan berakhir, berapa banyak pihak yang berhasil mengakses data, ataupun bagaimana celah tersebut pertama kali ditemukan.

Kondisi ini membuat insiden tersebut tidak hanya berkaitan dengan masalah privasi, tetapi juga menimbulkan risiko lanjutan bagi pelanggan. Sebab, informasi yang bocor dapat membantu pelaku membuat serangan penipuan yang lebih meyakinkan.

Pelanggan Berpotensi Jadi Sasaran Phishing

SafePal mengingatkan pelanggan terdampak agar meningkatkan kewaspadaan terhadap berbagai komunikasi yang mengatasnamakan perusahaan.

Informasi nama, nomor telepon, alamat rumah, dan riwayat pembelian dapat digunakan untuk membuat skenario penipuan yang terlihat sah. Pelaku dapat berpura-pura sebagai layanan pelanggan SafePal dan menggunakan informasi pesanan korban untuk mendapatkan kepercayaan.

Bentuk serangan dapat berupa panggilan telepon palsu, email phishing, pesan teks, surat, tawaran pengembalian dana, permintaan pembaruan firmware, hingga komunikasi yang mengaku berasal dari tim dukungan SafePal.

Risikonya menjadi lebih besar karena data yang bocor menghubungkan identitas seseorang dengan pembelian hardware wallet. Artinya, pelaku dapat mengetahui bahwa seseorang kemungkinan menggunakan perangkat penyimpanan aset kripto.

"Anggap mencurigakan setiap kontak atau pengiriman perangkat keras yang tidak terduga dan mengatasnamakan pembelian SafePal Anda, baik melalui telepon, surat, maupun secara langsung," kata SafePal.

Meski demikian, SafePal memastikan data yang terekspos tidak mencakup alamat wallet, saldo, seed phrase, private key, maupun informasi mengenai aset kripto yang disimpan pengguna.

Dengan kata lain, kebocoran ini tidak secara otomatis berarti aset pelanggan telah dicuri. Ancaman terbesar justru muncul dari kemungkinan penyalahgunaan data pribadi untuk melakukan rekayasa sosial atau social engineering.

Pemilik Kripto Jadi Target Bernilai Tinggi

Peringatan SafePal muncul di tengah meningkatnya perhatian terhadap keamanan pemilik aset kripto. Perusahaan analitik blockchain Chainalysis mencatat 46 insiden kekerasan yang menargetkan pemilik kripto di seluruh dunia hingga akhir Juni, dengan total kerugian lebih dari US$30 juta.

Kasus di Prancis juga mengalami peningkatan tajam. Dari hanya beberapa kasus sebelum 2025, jumlahnya meningkat menjadi 30 kasus hingga pertengahan 2026. Menurut Chainalysis, peningkatan tersebut berkaitan dengan pencurian data pajak yang dapat mengungkap informasi mengenai pemilik aset kripto.

Dari 46 percobaan yang tercatat, hanya 12 yang menghasilkan pembayaran. Tingkat keberhasilan tersebut sekitar 26%, turun dibandingkan 49% pada 2025.

"Penjahat menyadari bahwa pemilik kripto merupakan target bernilai tinggi karena mereka memiliki kekayaan dalam bentuk yang dapat ditransfer secara instan dan tidak dapat dibatalkan," ujar Chainalysis.

Kondisi tersebut menunjukkan mengapa kebocoran informasi pelanggan hardware wallet tetap perlu dianggap serius meskipun data paling sensitif seperti private key dan seed phrase tidak ikut terekspos.

Kesalahan Konfigurasi Membuat Data Lama Tetap Tersimpan

Investigasi SafePal juga menemukan persoalan lain yang berkaitan dengan sistem penyimpanan data. Proses pembersihan data otomatis yang seharusnya menghapus informasi lama ternyata tidak bekerja dengan benar antara September 2025 dan April 2026. SafePal mengatakan penyebabnya adalah kesalahan konfigurasi.

Akibat masalah tersebut, data pesanan lama tetap berada dalam sistem lebih lama dari yang seharusnya. SafePal menekankan bahwa kesalahan konfigurasi tersebut bukan penyebab akses tanpa izin. Namun, masalah itu membuat rentang data yang terdampak dapat mencakup pesanan yang dibuat sejak Maret 2025.

"Masalah tersebut tidak menyebabkan akses tanpa izin, tetapi menjadi alasan mengapa rentang data yang terdampak dapat mencakup pesanan sejak Maret 2025," jelas SafePal.

Peristiwa tersebut memperlihatkan pentingnya kebijakan retensi data dalam sistem yang menyimpan informasi pelanggan. Semakin lama data pribadi disimpan, semakin panjang pula periode ketika informasi tersebut berpotensi menjadi sasaran apabila terjadi kompromi keamanan.

Laporan Awal Muncul pada Mei

SafePal mengatakan laporan pertama yang memiliki kaitan dengan masalah tersebut diterima pada awal Mei 2026. Pada tahap awal, perusahaan menganggap laporan tersebut sebagai kasus yang berdiri sendiri. Namun, setelah dilakukan pemeriksaan lebih lanjut, SafePal meningkatkan penanganannya menjadi investigasi keamanan resmi dan menambahkan sejumlah lapisan perlindungan.

"Pada awal Mei, kami pertama kali menerima laporan yang sesuai dengan masalah ini. Saat itu kami menganggapnya sebagai kasus terisolasi, tetapi kemudian meningkatkannya menjadi investigasi keamanan resmi dan menerapkan perlindungan tambahan," kata SafePal.

Pada bulan yang sama, seorang pelanggan dilaporkan menerima email mencurigakan, surat, serta panggilan telepon dari seseorang yang mengaku sebagai perwakilan SafePal. Laporan tersebut diberitakan Help Net Security. Namun, hingga kini belum terdapat bukti yang memastikan bahwa komunikasi phishing tersebut berkaitan langsung dengan kebocoran data SafePal.

SafePal kemudian melakukan pemeriksaan menyeluruh terhadap sistem pemrosesan pesanan pada Juli 2026. Perusahaan juga membangun ulang sejumlah bagian sistem tersebut dan menemukan akar masalah dalam proses tersebut.

Data Diduga Ditawarkan di Forum Kejahatan Siber

Situasi semakin serius setelah seorang pelaku ancaman dilaporkan menawarkan dataset yang diduga berasal dari insiden SafePal di sebuah forum kejahatan siber. Dataset tersebut dilaporkan memiliki rentang waktu pesanan dan jumlah pelanggan yang sama dengan informasi yang diumumkan SafePal, yakni sekitar 39.798 pelanggan.

Daftar tersebut ditemukan DarkWebInformer pada 16 Agustus. Penjual bahkan menawarkan informasi tambahan berupa ID pesanan dan negara tujuan pengiriman agar calon pembeli dapat melakukan verifikasi menggunakan alat pemeriksaan yang disediakan SafePal.

Jika benar berasal dari insiden yang sama, keberadaan dataset tersebut menunjukkan bahwa data yang terekspos berpotensi telah berada di tangan pihak lain.

Namun, penting untuk membedakan antara klaim penjualan data dan bukti bahwa seluruh dataset tersebut autentik. Hingga artikel ini ditulis, SafePal belum memberikan pernyataan resmi mengenai penawaran dataset tersebut melalui blog, halaman insiden, maupun akun X resminya.

Perusahaan juga belum memberikan tanggapan langsung terhadap permintaan komentar terkait dugaan penjualan data tersebut.

SafePal Perketat Sistem Keamanan

Setelah mengidentifikasi masalah, SafePal mengatakan telah menerapkan sejumlah langkah perbaikan.

Pertama, celah keamanan telah diperbaiki dan perlindungan tambahan diterapkan pada sistem terkait. Kedua, perusahaan memangkas masa penyimpanan informasi pribadi dalam lingkungan pemrosesan pesanan menjadi maksimal 90 hari, dengan tetap memperhatikan kewajiban hukum yang berlaku.

Data pelanggan yang terdampak juga telah dihapus dari server aktif. SafePal masih menyimpan salinan cadangan secara offline dan diamankan secara khusus untuk kebutuhan investigasi apabila diperlukan.

Selain itu, perusahaan melibatkan pihak keamanan independen untuk memvalidasi perbaikan yang telah dilakukan serta melakukan pemeriksaan lebih luas terhadap sistem pemrosesan pesanan. SafePal juga menghubungi mitra logistik dan fulfillment pihak ketiga untuk memastikan masalah serupa tidak terjadi atau menyebar ke sistem mereka.

Perusahaan mengatakan lebih dari 30 situs web palsu dan tautan phishing yang berkaitan dengan aktivitas penipuan telah ditutup. SafePal juga menyediakan halaman pemeriksaan status yang memungkinkan pelanggan memeriksa informasi berdasarkan ID pesanan dan negara pengiriman. Saluran dukungan khusus turut disiapkan untuk membantu pelanggan terdampak.

Pelanggan Tidak Perlu Langsung Memindahkan Aset

SafePal mengatakan pelanggan tidak perlu memindahkan aset kripto hanya karena data pribadi mereka masuk dalam cakupan insiden. Alasannya, kebocoran tersebut tidak mencakup seed phrase, private key, password wallet, alamat wallet, maupun informasi saldo.

Namun, situasinya berbeda apabila pengguna pernah memberikan seed phrase atau private key kepada pihak lain setelah menerima pesan mencurigakan. SafePal menyarankan pelanggan yang pernah memasukkan informasi tersebut sebagai respons terhadap pesan mencurigakan untuk menganggap wallet terkait telah disusupi.

Ini menjadi pengingat penting bagi pengguna hardware wallet. Seed phrase dan private key tidak boleh diberikan kepada siapa pun, termasuk pihak yang mengaku sebagai staf SafePal atau layanan dukungan teknis.

Bukan Kasus Pertama di Industri Hardware Wallet

Kebocoran data SafePal bukan insiden pertama yang menimpa industri hardware wallet.

Pada Desember 2020, Ledger mengungkap bahwa sebuah database yang kemudian dipublikasikan secara online berisi sekitar 272.000 data pelanggan secara rinci. Informasi tersebut mencakup nama, alamat surat, dan nomor telepon. Peneliti Svetlana Abramova dan Rainer Böhme kemudian melakukan survei terhadap 104 pelanggan terdampak untuk penelitian USENIX Security '23.

Penelitian tersebut menemukan adanya laporan mengenai spam, penipuan, phishing, serta dua laporan perangkat yang mengalami gangguan atau perubahan yang diduga mungkin berkaitan dengan kebocoran tersebut. Para pelanggan juga mengaku mengalami peningkatan kekhawatiran terhadap keselamatan mereka setelah data pribadi mereka terekspos.

Kasus tersebut memperlihatkan bahwa kebocoran data pelanggan dapat menimbulkan konsekuensi yang lebih luas daripada sekadar pencurian informasi digital.

Belum Ada Kerugian Finansial yang Terkonfirmasi

Hingga saat ini, belum ada laporan yang mengonfirmasi kerugian finansial pelanggan SafePal sebagai akibat langsung dari insiden tersebut.

SafePal meminta pelanggan yang merasa mengalami kerugian untuk menghubungi saluran dukungan resmi. Perusahaan juga mengatakan sedang bekerja sama dengan spesialis pelacakan aset berbasis blockchain untuk membantu menyelidiki kemungkinan kerugian.

Namun, SafePal belum menyatakan bahwa ada aset yang berhasil dicuri dan dapat ditelusuri secara langsung dari data yang terekspos. Insiden ini pada akhirnya menunjukkan bahwa kebocoran data pelanggan hardware wallet tetap merupakan ancaman serius meskipun informasi kripto paling sensitif tidak ikut bocor.

Karena itu, pelanggan SafePal yang terdampak sebaiknya berhati-hati terhadap setiap komunikasi yang mengatasnamakan perusahaan, terutama permintaan seed phrase, private key, password, kode autentikasi, atau tindakan lain yang dapat memberikan akses terhadap aset.

Dalam kasus seperti ini, keamanan wallet tidak hanya bergantung pada teknologi perangkat, tetapi juga pada kemampuan pengguna mengenali upaya penipuan yang memanfaatkan data pribadi.