Pendiri OneKey, Yishi Wang, berkomitmen menghapus data pelanggan dalam waktu 30 hari, setelah produsen dompet perangkat keras pesaing, Keystone, mengakui kegagalan sistem penghapusan 180 harinya menyusul kebocoran yang mengekspos hampir 26.000 catatan pembeli.
Pusat bantuan Keystone menyebutkan bahwa penghapusan akhir catatan pengguna ditangani oleh Shopify. Pengungkapan tersebut menunjukkan adanya celah keamanan di tingkat toko Shopify dan perusahaan logistik, di luar kendali produsen dompet seperti OneKey dan Keystone, meskipun OneKey telah berkomitmen menghapus data dalam 30 hari.
Alasan OneKey mempersingkat masa penyimpanan datanya
Yishi Wang dari OneKey mengonfirmasi pada Selasa bahwa produsen dompet perangkat keras tersebut sedang mengaudit sistem keamanannya sendiri setelah pelanggaran keamanan dan serangan rantai pasok baru-baru ini mengungkap kelemahan keamanan di sektor tempat perusahaan itu beroperasi.
Wang menegaskan bahwa langkah ini bersifat pencegahan. Ia menulis bahwa “OneKey TIDAK mengalami insiden keamanan.” Sebaliknya, keputusan untuk membatasi penyimpanan data hingga 30 hari merupakan tanggapan langsung terhadap masalah yang terjadi di perusahaan lain.
Alasan di balik pemendekan masa penyimpanan data adalah semakin lama vendor menyimpan data pelanggan, semakin banyak pula data pelanggan yang berisiko terekspos dalam pelanggaran keamanan.
Apa yang menyebabkan kebocoran data Keystone?
Keystone mengungkapkan bahwa sistem yang otomatis menghapus data pelanggan setelah masa penyimpanan 180 hari ternyata berhenti berfungsi tanpa memicu tanda bahaya apa pun. “Kami gagal memenuhi komitmen untuk menghapus data pelanggan tepat waktu, dan kami bertanggung jawab atas kegagalan ini,” kata perusahaan tersebut.
Keystone menemukan 25.964 catatan yang masih memuat data pribadi, nama, alamat pengiriman, detail kontak, dan riwayat pembelian saat meninjau 51.083 catatan pembeli Shopify. Rupanya, data sejak 2024 masih tersimpan, jauh melampaui batas 180 hari yang ditegaskan perusahaan setelah pelanggan Ledger mengetahui adanya kebocoran di mitra e-commerce Global-e pada Januari 2026.
Penyelidik menemukan detail sensitif dalam 12.873 catatan pembayaran yang belum diselesaikan lainnya.
Sebagai tanggapan, Keystone kini telah mempersingkat masa penyimpanan datanya menjadi 90 hari.
Keystone juga mengungkapkan pada 26 Oktober bahwa para penyerang turut mencuri kunci WebAuth yang digunakan perangkatnya untuk membuktikan keaslian perangkat. Penyelidikan menelusuri pembobolan tersebut ke sebuah kelemahan pada alat pemantauan pihak ketiga yang memungkinkan penyusup meningkatkan tingkat akses mereka. Keystone pertama kali mendeteksi aktivitas tersebut pada 20 Oktober.
Karena kunci tersebut ditanam permanen ke setiap perangkat selama proses produksi dan tidak dapat ditimpa, Keystone berencana memusnahkan seluruh 18.835 unit di inventaris yang menggunakan kunci tersebut. Dompet baru akan menggunakan kunci pengganti.
Perusahaan telah menghentikan pengiriman pesanan situs web yang masih tertunda dan beralih ke sistem prapesan.
Janji penghapusan data hanya sebaik mitra yang menyimpan data tersebut
Perlu diketahui, produsen dompet perangkat keras bukan satu-satunya pihak yang menyimpan data pelanggan. Platform e-commerce dan mitra pengiriman juga menangani nama, alamat, dan riwayat pesanan pelanggan. Sebagian besar pelanggaran keamanan baru-baru ini terjadi di tingkat tersebut.
Kebocoran data Trezor berdampak pada 81.000 pelanggan setelah mitra pengirimannya, ShipMonk, gagal menghapus catatan meskipun telah berulang kali memberikan jaminan tertulis. SafePal mengekspos data sekitar 39.798 pelanggan akibat kelemahan pada pelacakan pesanan dan sejak itu memangkas masa penyimpanan datanya menjadi 90 hari. Ledger mengonfirmasi bahwa perangkat bekas yang dijual kembali oleh CryptoBilis menyembunyikan cip yang menangkap frasa pemulihan. Cryptopolitan, mengutip para peneliti on-chain, memperkirakan kerugian mencapai lebih dari $86 juta.
Jika Anda membaca ini, berarti Anda sudah selangkah lebih maju. Tetaplah terdepan bersama buletin kami.