Seed phrase bisa diganti. Kata sandi bisa direset. Alamat rumah tidak bisa. Kebocoran data SafePal yang terungkap pada hari Minggu membuka hampir 40.000 alamat tersebut.
Tiga hari sebelumnya, Trezor juga membocorkan 13.689 data. Kedua pembuat hardware wallet itu secara total membuka akses ke 53.487 catatan pelanggan. Tidak ada koin yang hilang dari kedua perusahaan.
Apa yang Terungkap dari Kebocoran Data SafePal
SafePal menyebutkan bahwa sebanyak 39.798 pelanggan terdampak. Bocoran data tersebut meliputi nama, email, nomor telepon, alamat pengiriman, dan detail pesanan.
Dear community,
While your SafePal wallet, seed phrase, and private keys are secure; we identified a flaw in the order-tracking plug-in that led to unauthorized access to information of a subset of customers.
The issue has been fixed with additional security measures…
— SafePal – Crypto Wallet (@SafePal) August 16, 2026
Penyebabnya berasal dari celah pada plugin yang digunakan SafePal untuk melacak pesanan. Dalam beberapa kasus, satu pelanggan bisa saja mengakses data milik pelanggan lain.
Pesanan yang terdampak terjadi mulai 2 Maret 2025 hingga 11 April 2026. Jendela waktu ini terbuka selama lebih dari 13 bulan.
Seed phrase, private key, detail bank, maupun nomor kartu tidak ikut bocor. SafePal telah menambal celah ini dan memangkas penyimpanan data pesanan menjadi hanya 90 hari, papar pengumumannya.
SafePal Token (SFP) nyaris tidak bergerak hari Minggu, stabil di kisaran US$0,23. Inilah intinya. Tidak ada kejadian keuangan di sini.
Alasan Mengapa Alamat Bocor Lebih Berisiko Dibanding Password Bocor
Trezor mengetahui kebocoran data pelanggan miliknya pada 10 Agustus. Mitra pengiriman mereka, ShipMonk, yang mengalami peretasan.
Detail penuh bocor untuk 11.742 pembeli Trezor, ucap notifikasi perusahaan itu. Nama, email, nomor telepon, dan alamat rumah semuanya ikut bocor.
Kedua kegagalan ini berbeda dari akar masalahnya. Data Trezor bocor lewat pihak pemasok. Data SafePal bocor lewat sistem yang mereka kelola sendiri.
Namun, kedua daftar ini sama berharganya di mata penyerang. Membeli hardware wallet menunjukkan kamu punya aset kripto cukup besar untuk dipindahkan dari exchange.
Jadi data ini lebih spesifik dibandingkan kebocoran exchange biasanya. Ia mempertemukan seorang holder self-custody dengan alamat rumah yang terkonfirmasi.
Jaksa Sudah Melihat Pola Kejahatan Serupa
Pada bulan Mei, jaksa AS mengumumkan dakwaan terhadap tiga pria Tennessee atas rangkaian perampokan kripto senilai US$6,5 juta di California.
#FBI CASE UPDATE: Three men have been indicted on robbery, kidnapping, and conspiracy charges related to a $6 million cryptocurrency robbery spree throughout the Bay Area and LA. Elijah Armstrong, Nino Chindavanh, and Jayden Rucker – all from Tennessee- were charged on Conspiracy… pic.twitter.com/mIQQKjS3K2
— FBI SanFrancisco (@FBISanFrancisco) May 11, 2026
Ketiga pria tersebut menyamar sebagai pengantar barang untuk bisa masuk ke rumah korban, terang dokumen dakwaan itu.
Catatan pengiriman yang bocor memberikan skenario itu ke pelaku berikutnya. Catatan itu mencantumkan nama pembeli, beserta alamat dan isi kotak yang dikirim.
Phishing jadi masalah yang lebih kecil. SafePal sudah menghapus lebih dari 30 situs palsu dan tautan scam yang terkait data yang dicuri itu.
Notifikasi asli dikirim lewat email security@safepal.com. Jika berasal dari alamat lain, sebaiknya anggap saja itu upaya penipuan.
Kasus Ledger menunjukkan betapa panjangnya dampak ini. Pada kebocoran 2020, sekitar 272.000 alamat pos, nama, dan nomor telepon terbuka, sebut pernyataan Ledger.
Enam tahun berlalu, Ledger tetap mengingatkan pelanggannya tentang surat phishing yang masih datang lewat pos. Ledger sendiri tidak menghubungkan surat-surat itu dengan bocornya data tahun 2020.
Domain scam bisa diblokir. Inbox bisa terfilter. Tapi alamat rumah tidak pernah kedaluwarsa.
Trezor kini berencana menawarkan opsi pengiriman anonim, yang akan tersedia di Uni Eropa pada bulan September dan di AS pada akhir tahun. Tapi opsi itu datang terlambat bagi 53.487 data yang sudah telanjur tersebar.