SafePal Alami Kebocoran Data: 39.798 Pelanggan Terdampak, Apa yang Terjadi dan Bagaimana Membandingkannya dengan Ledger dan Trezor

Pada 16 Agustus 2026, penyedia dompet perangkat keras (hardware wallet) SafePal mengumumkan telah terjadi kebocoran data yang mengekspos informasi pesanan pribadi sekitar 39.798 pelanggan . Celah otorisasi pada plugin pelacakan pesanan SafePal memungkinkan akses tidak sah ke data pelanggan untuk pesanan yang dilakukan antara 2 Maret 2025 hingga 11 April 2026 . Meskipun tidak ada kredensial dompet, seed phrase, kunci privat, atau data finansial yang terbobol , data yang terekspos menimbulkan risiko phishing yang signifikan bagi pengguna yang terdampak . Kebocoran SafePal terjadi hanya tiga hari setelah Trezor mengumumkan kebocoran terpisah, sehingga total data pelanggan hardware wallet yang bocor dalam sepekan mencapai lebih dari 53.000 .

Data Apa Saja yang Bocor?

SafePal mengonfirmasi bahwa informasi berikut ini dapat diakses oleh pihak tidak bertanggung jawab selama periode eksposur :

• Nama pelanggan
• Alamat email
• Alamat pengiriman
• Nomor telepon
• Detail pembelian dan riwayat pesanan

SafePal secara tegas menyatakan bahwa data sensitif berikut ini tidak diakses, karena perusahaan tidak pernah mengumpulkan atau menyimpan informasi semacam itu dari pelanggan :

• Seed phrase (frase pemulihan)
• Kunci privat (private keys)
• Kata sandi dompet atau kredensial dompet lainnya
• Informasi rekening bank
• Nomor kartu pembayaran
• Nomor identitas terbitan pemerintah

Perusahaan juga memastikan tidak ada bukti yang menunjukkan insiden ini membahayakan akses ke dompet atau dana SafePal .

Bagaimana Kebocoran Terjadi?

SafePal mengidentifikasi celah otorisasi pada plugin pelacakan pesanannya — sebuah komponen yang digunakan untuk memantau pesanan pelanggan . Kerentanan ini memungkinkan plugin tersebut untuk membuat satu pelanggan bisa melihat data pesanan pelanggan lain tanpa otorisasi yang semestinya . Masalah ini telah diperbaiki setelah ditemukan, dan SafePal menyatakan telah memberlakukan langkah-langkah keamanan tambahan .

Kebocoran ini mencakup pesanan yang dilakukan selama kurang lebih 13 bulan, dari 2 Maret 2025 hingga 11 April 2026 . SafePal mengungkapkan insiden ini melalui unggahan di X (Twitter) dan pembaruan keamanan di blog resminya pada 16 Agustus 2026 .

Risiko Phishing dan Peringatan

Meskipun dompet dan dana SafePal tetap aman, data yang terekspos sangat menarik bagi para penjahat siber. Nama, alamat fisik, dan riwayat pembelian yang terverifikasi menjadi bahan bakar ideal untuk serangan phishing yang ditargetkan, peniruan identitas, dan upaya pencurian identitas .

SafePal memperingatkan pengguna yang terdampak untuk tetap waspada terhadap upaya phishing dan peniruan identitas . Pengamat industri mencatat bahwa lebih dari 30 situs phishing telah dikaitkan dengan kebocoran ini . Risikonya semakin besar karena data tersebut mengonfirmasi bahwa korban memiliki model dompet perangkat keras tertentu, lengkap dengan alamat pengirimannya, sehingga memungkinkan penipuan yang sangat meyakinkan.

Cara Cek Apakah Kamu Terdampak

SafePal telah memberitahu pelanggan yang terdampak melalui email dan menyediakan halaman verifikasi resmi di mana pelanggan dapat memeriksa status mereka menggunakan nomor pesanan dan negara pengiriman .

Perbandingan dengan Kebocoran Dompet Perangkat Hardware Sebelumnya

Kebocoran SafePal adalah yang ketiga dalam waktu sekitar seminggu dan mengikuti pola kebocoran besar Ledger tahun 2020.

Kebocoran Ledger 2020

• Tanggal diumumkan: Juli 2020
• Skala: Sekitar 1 juta alamat email dan 272.000 catatan pelanggan detail (nama lengkap, alamat, nomor telepon)
• Sumber: Kunci API e-commerce yang dibobol
• Dana dibobol? Tidak
• Akibat: Data curian dibagikan secara terbuka di RaidForums pada Desember 2020, menyebabkan kampanye phishing bertahun-tahun terhadap pelanggan Ledger

Kebocoran Trezor (Agustus 2026)

• Tanggal diumumkan: 13 Agustus 2026
• Skala: 13.689 pelanggan — 11.742 di antaranya mengalami eksposur data pribadi lengkap (nama, email, nomor telepon, alamat pengiriman); 1.947 lainnya mengalami eksposur sebagian
• Sumber: Kebocoran di penyedia pengiriman pihak ketiga, ShipMonk
• Dana dibobol? Tidak

Kebocoran SafePal (Agustus 2026)

• Tanggal diumumkan: 16 Agustus 2026
• Skala: 39.798 pelanggan
• Sumber: Celah otorisasi pada plugin pelacakan pesanan internal
• Dana dibobol? Tidak

Perbedaan dan Pelajaran Utama

1. Volume: Kebocoran Ledger 2020 jauh lebih besar (1 juta email vs. 40.000 SafePal dan ~14.000 Trezor), dan datanya dibagikan secara aktif di forum peretas, yang menyebabkan serangan phishing bertahun-tahun .

2. Vektor serangan: Setiap kebocoran memiliki asal yang berbeda — Ledger karena kunci API yang dibobol; Trezor karena kebocoran di penyedia logistik pihak ketiga; SafePal karena celah otorisasi di plugin internalnya sendiri .

3. Yang tetap aman di ketiga insiden: Dalam setiap kasus, seed phrase, kunci privat, dan dana dompet tidak dibobol, dan tidak ada mata uang kripto curian yang secara langsung terkait dengan kebocoran tersebut .

4. Dampak gabungan: Jangka waktu tiga hari antara kebocoran Trezor (13 Agustus) dan SafePal (16 Agustus) menempatkan lebih dari 53.000 catatan pelanggan hardware wallet ke publik, meningkatkan risiko phishing secara keseluruhan bagi komunitas kripto .