Pernahkah Anda bertanya-tanya bagaimana dompet perangkat keras tetap bisa rentan terhadap serangan siber?
Trezor, merek dompet perangkat keras yang populer, baru saja mengungkap kebocoran data lain yang membuat penggunanya berisiko. Dalam insiden baru-baru ini, penipu menargetkan pengguna platform pemasaran Trezor dengan serangan phishing yang canggih, sehingga mengompromikan data sensitif dan berpotensi mengekspos kunci privat.
Konsep
Bayangkan dompet perangkat keras seperti brankas berkeamanan tinggi yang menyimpan kunci kripto Anda secara offline. Gagasan utamanya adalah tidak ada yang bisa mengakses kunci tersebut kecuali mereka menyentuh perangkatnya secara fisik. Namun, kebocoran terbaru menunjukkan bahwa “brankas” itu bisa dipermainkan oleh penyerang yang memancing pengguna agar memberikan informasi melalui email atau situs web palsu. Penyerang mengeksploitasi sistem login platform pemasaran, membuat pengguna memasukkan kredensial mereka. Setelah masuk, mereka bisa mengumpulkan data pribadi dan, dalam beberapa kasus, memperoleh frasa pemulihan milik dompet tersebut.
Contoh Dunia Nyata
Minggu lalu, sekelompok penipu mengirim serangkaian email yang terlihat seperti komunikasi resmi Trezor. Email tersebut mendesak pengguna untuk “memverifikasi akun mereka” dengan mengeklik tautan yang mengarah ke halaman login palsu. Banyak pengguna, karena percaya pada branding yang sudah familiar, memasukkan nama pengguna dan kata sandi mereka. Para penyerang kemudian menggunakan informasi tersebut untuk mengakses platform pemasaran dan, dalam beberapa kasus, seed pemulihan dompet. Tim keamanan Trezor dengan cepat mengidentifikasi pelanggaran, memberi tahu pengguna yang terdampak, serta mendesak mereka untuk mengubah kata sandi dan mengaktifkan autentikasi dua faktor.
Intinya
Jika Anda memiliki Trezor atau dompet perangkat keras apa pun, anggap platform pemasaran seperti akun online lainnya:
1. Aktifkan autentikasi dua faktor (2FA) pada semua akun yang terkait.
2. Jangan pernah mengklik tautan dalam email yang tidak diminta; selalu navigasikan langsung ke situs web resmi.
3. Secara rutin tinjau aktivitas akun untuk melihat adanya login yang tidak dikenal.
4. Simpan seed pemulihan Anda di lokasi yang aman dan luring—jangan pernah menyimpannya secara digital.
Langkah apa yang Anda ambil untuk melindungi aset kripto Anda dari phishing dan pelanggaran data?