Kebocoran data di mitra pengiriman Trezor, ShipMonk, mengekspos detail pesanan pribadi milik 13.689 pelanggan dompet kripto keras (hardware wallet), kata perusahaan tersebut pada Kamis.
Poin Utama:
- ShipMonk, mitra pemenuhan pesanan Trezor, diretas hingga menyingkap nama, alamat, nomor telepon, dan email.
- Data lengkap milik 11.742 pelanggan dicuri, sementara 1.947 lainnya terekspos sebagian.
- Trezor menegaskan sistem, perangkat, private key, dan cadangan wallet tidak tersentuh.
Kebocoran di ShipMonk Ungkap Data Pesanan Trezor
ShipMonk memberi tahu Trezor pada 10 Agustus bahwa pelaku tidak berwenang berhasil mengakses sistem internal yang menyimpan rekaman pesanan pelanggan, menurut pengungkapan Trezor dalam sebuah pernyataan resmi pada Kamis.
Sekitar 11.742 pelanggan kehilangan kerahasiaan nama, nomor telepon, alamat email, serta alamat pengiriman, sementara 1.947 pelanggan lainnya terekspos nama, kota, dan alamat email. Mereka adalah pelanggan yang melakukan pesanan antara 10 Mei hingga 8 Agustus dengan tujuan pengiriman ke Amerika Serikat, Inggris, Swedia, Kolombia, Brasil, Italia, atau Portugal, menurut catatan pengiriman yang juga dilaporkan oleh media industri.
Trezor menegaskan infrastrukturnya sendiri tidak berhasil ditembus; tidak ada perangkat, private key, maupun cadangan wallet yang disentuh, sementara investigasi masih berjalan. Aturan penghapusan data 90 hari yang diwajibkan kepada mitra logistik membatasi jangkauan pelaku ke data pesanan yang lebih lama, sehingga pelanggan yang tidak menerima email pemberitahuan diperkirakan tidak terdampak kebocoran ini.
Juga Baca: Empat Trader Bertaruh Short Bitcoin US$343 Juta, Satu Sudah Menyerah
Risiko Phishing, Mengulang Preseden Ledger
Ancaman langsung dari insiden ini lebih terkait penipuan (fraud) ketimbang pencurian langsung dari perangkat.
Trezor memperingatkan, penipu dapat memanfaatkan data yang bocor untuk menyamar sebagai bank, bursa kripto, atau Trezor sendiri melalui email, panggilan telepon, maupun surat fisik, sebagaimana diingatkan perusahaan lewat pernyataan publik. Pelanggan diminta mencurigai setiap pesan yang menuntut tindakan segera dan selalu memverifikasi klaim lewat kanal resmi. Pengguna juga diingatkan untuk tidak pernah mengetik frasa pemulihan atau cadangan wallet ke situs web mana pun.
Pesaing Trezor, Ledger, pernah menjadi contoh buruk pada 2020 ketika sekitar 272.000 pelanggan mereka mendapatkan nama, alamat, dan nomor teleponnya dipublikasikan, yang kemudian diikuti dengan permintaan tebusan lewat email. Firma keamanan CertiK mencatat 52 serangan fisik terhadap pemilik kripto pada paruh pertama 2026, naik dari 39 kasus pada periode yang sama tahun sebelumnya, sementara Chainalysis menghitung lebih dari US$30 juta kripto raib akibat serangan semacam itu.
Rekam Jejak Insiden Trezor dan Dampak ke Pengguna
Ini adalah insiden pertama sejak Trezor berdiri pada 2013 yang sampai mengekspos nomor telepon serta alamat pengiriman pelanggan. Kasus sebelumnya berskala lebih sempit, misalnya kompromi portal dukungan pihak ketiga pada 2024 yang membocorkan nama dan email sekitar 66.000 pengguna.
Tidak ada dana pelanggan yang hilang dalam kasus tersebut. Trezor kini menyarankan pembeli membatasi eksposur ke depan dengan menggunakan alamat email anonim, membayar menggunakan kripto, atau mengirimkan pesanan ke kotak pos (PO Box).
Pengumuman kali ini muncul di tengah dampak cacat firmware pada Coldcard, yang mendahului keluarnya sekitar 233.000 Bitcoin (BTC) dari dompet pemegang jangka panjang. Sebagian perpindahan ini disinyalir berasal dari pemilik Trezor dan Ledger yang beralih ke skema penyimpanan multi‑signature, menurut penyedia layanan kustodian Casa.
Trezor merespons dengan merencanakan opsi Anonymous Delivery yang memanfaatkan pengambilan di loker dan kemasan netral, dengan target peluncuran di Uni Eropa pada September 2026 dan di Amerika Serikat sebelum akhir tahun.
Baca Selanjutnya: Tekanan Jual XRP Turun ke 0,86, Terlemah Sejak Mei
