Swiss Bitcoin Pay menutup seluruh infrastruktur servernya pada Senin setelah menyimpulkan bahwa seorang penyusup kemungkinan besar telah mengakses sistem internalnya.
Perusahaan tersebut memperingatkan bahwa alamat email pelanggan, alamat Bitcoin, IBAN bank, riwayat transaksi, dan kata sandi yang di-hash mungkin telah terekspos. Namun, meski demikian, perusahaan mengatakan tidak ada uang pelanggan yang berisiko.
Mengapa Swiss Bitcoin Pay menonaktifkan servernya?
Swiss Bitcoin Pay mengungkapkan di akun resminya di X bahwa tim masih mencari tahu apa yang sedang dihadapi setelah seorang pengguna berbahaya dilaporkan berhasil mengakses sistem internal perusahaan. Dalam unggahan itu disebutkan bahwa server sedang dimatikan "sebagai tindakan pencegahan" selama penyelidikan.
Swiss Bitcoin Pay belum mengatakan berapa banyak pelanggan yang terdampak, bagaimana penyerang masuk, atau apakah data disalin keluar atau hanya dilihat. Swiss Bitcoin Pay juga belum memberikan tanggal untuk pemulihan layanan mereka.
Desain non-penahanan (non-custodial) Swiss Bitcoin Pay berfungsi dengan cara membiarkan pembayaran mengalir langsung dari pelanggan ke pedagang. Dengan sistem ini, dana pelanggan sepenuhnya dipagari dari sistem yang telah dikompromikan, dan tidak ada pergerakan Bitcoin yang tidak sah yang telah teridentifikasi.
Namun, dalam balasan lanjutan di X, Swiss Bitcoin Pay menjelaskan bahwa mereka sempat menahan sebagian saldo pengguna, meskipun “umumnya” jumlahnya kecil.
Perusahaan menjelaskan bahwa ini terjadi karena mereka mengelompokkan pembayaran Lightning yang masuk ke dalam batch agar dapat diproses dengan satu output on-chain pada siklus harian, mingguan, atau bulanan.
Seberapa besar kerusakan yang bisa ditimbulkan oleh peretasan Swiss Bitcoin?
Cryptopolitan melaporkan bahwa sidechain Liquid milik Blockstream baru memulai kembali produksi blok minggu lalu setelah peretasan yang menguras hampir 4.000 BTC dari dompet federasinya.
Beberapa hari sebelumnya, Badan Digital Jepang mengungkap bahwa sekitar 246.000 catatan staf dan kontraktor, termasuk nama, email, dan nomor telepon, mungkin telah bocor.
Alamat email pelanggan, alamat Bitcoin, IBAN bank, riwayat transaksi, dan kata sandi terenkripsi yang dikhawatirkan dicuri dari Swiss Bitcoin Pay menjadi, dalam kata-kata Pasquale Pillitteri, “materi buku teks untuk serangan phishing yang disesuaikan” ketika digabungkan.
Selain itu, pengguna yang terkompromi akibat paparan tersebut kini dapat membuat alamat Bitcoin mereka dikaitkan dengan nama asli, sehingga siapa pun dapat melacak aktivitas on-chain orang tersebut.
Kebocoran terbaru di perusahaan pembuat dompet perangkat keras Trezor juga mengungkap detail kontak dan pengiriman para pembeli. Insiden SafePal yang terpisah menimpa 39.798 pelanggan melalui plugin pelacakan pesanan yang cacat. Swiss Bitcoin Pay belum mengaitkan kasusnya sendiri dengan kerentanan tertentu mana pun.
Orang-orang paling cerdas di dunia kripto sudah membaca newsletter kami. Mau gabung? Bergabunglah dengan mereka.