Pada 16 Agustus, SafePal, perusahaan hardware wallet yang pernah didanai Binance, memposting sebuah pernyataan di X. Mereka mengakui adanya insiden keamanan, dan menyebut informasi hampir 40.000 pengguna telah dicuri.

Walaupun SafePal mengatakan seed phrase, private key, dan kata sandi dompet (informasi inti) tidak bermasalah, semua informasi pengiriman yang ditinggalkan pengguna saat membeli hardware wallet—seperti nama, email, alamat pengiriman, dan nomor telepon—semuanya dibobol.

Penyebab kebocorannya adalah plugin pihak ketiga di situs SafePal yang berfungsi untuk memeriksa progres pesanan pengguna. Ada “celah otorisasi”. Awalnya, saat pengguna memasukkan nomor resi, mereka hanya bisa melihat riwayat pembelian miliknya sendiri. Namun, seseorang menemukan bahwa dengan mengubah parameter secara sembarangan, mereka bisa melihat alamat penerima dan nomor telepon orang lain.

SafePal mengatakan mereka “baru menemukan penyebab mendasar” belakangan, tetapi kenyataannya sejak Juli pun sudah ada pengguna yang melaporkan secara online bahwa mereka menerima panggilan penipuan yang mengetahui nama dan alamat mereka.

Artinya, data pengguna SafePal kemungkinan “terpapar tanpa pelindung” di internet selama lebih dari sebulan.

Tahun ini insiden keamanan di industri kripto bermunculan terus. Selain pencurian yang sudah biasa terjadi pada defi, bahkan dompet perangkat keras yang mengaku paling aman pun kerap mengalami masalah.

Ledger, pemimpin perangkat keras wallet (hardware wallet) global, pada Januari tahun ini mengalami masalah saat membayar mitra Global-e. Akibatnya, sejumlah nama dan nomor kontak pelanggan bocor.

Meskipun insiden kali ini, sama seperti SafePal, tidak melibatkan kredensial inti dompet seperti seed phrase (kalimat pemulihan) maupun private key, riwayat kebocoran privasi pengguna Ledger pernah memicu “serangan kunci pas”. Bahkan, pendiri Ledger sendiri menjadi korban pada tahun 2025.

Pada 30 Juli tahun ini, perusahaan hardware wallet Kanada yang mengklaim “absolut terpercaya dalam lapisan kriptografi” Coldcard dibobol.

Pelaku memanfaatkan celah firmware yang sudah ada sejak Maret 2021 dan tertanam selama 5 tahun. Mereka menemukan bahwa perangkat Coldcard tertentu saat menghasilkan seed phrase kurang memiliki tingkat keacakan; kekuatan kunci turun dari 128-bit menjadi serendah 40-bit, sehingga kunci dapat dipecahkan oleh peretas dengan brute force.

Peretas mulai beraksi pada 30 Juli dalam empat gelombang. Dalam 41 menit, mereka menggasak sekitar 70 juta dolar dari 1.196 alamat. Pada akhirnya, kerugian menggelembung hingga lebih dari 130 juta dolar, mencakup lebih dari 5.200 alamat, dan menjadi kasus pencurian mata uang kripto terbesar ketiga hingga 2026.

SafePal yang mengalami kebocoran informasi pengguna ini didukung oleh Binance, sekaligus merupakan proyek hardware wallet yang pernah ikut diluncurkan melalui Binance Launchpad. Ini termasuk kelompok pendatang baru dari “ekosistem Binance”.

Mereka mengklaim bisa memindahkan likuiditas transaksi Binance serta kanal masuk/keluar uang fiat langsung ke dalam aplikasi wallet, dan menetapkan harga awal di bawah 50 dolar, sehingga menarik banyak minat investor kripto pemula.

Walaupun SafePal di lapisan “tanda tangan offline” melakukan perlindungan yang maksimal, pada lapisan “pesanan e-commerce” mereka memakai standar perlindungan rata-rata industri.

Sekarang para peretas juga sudah jelas dengan itu: mereka tidak perlu mengerahkan tenaga untuk menembus enkripsi firmware yang keras kepala, melainkan memilih celah yang lebih lemah seperti sistem pesanan. Setelah mendapatkan informasi seperti nama, alamat, dan nomor telepon, informasi itu bisa dipakai untuk langkah berikutnya: phishing yang sangat terarah, menyamar sebagai customer service, bahkan “serangan kunci pas” di dunia nyata (threaten dengan kekerasan untuk memaksa Anda menyerahkan private key).

Bahkan kalau tidak jadi target kriminal, informasi seperti ini juga tidak baik jika sudah dipegang oleh “paman berkepala topi” (penegak hukum) atau otoritas pajak.