Keystone Musnahkan 18.835 Dompet Kripto usai Kunci Verifikasi Dicuri, 25.964 Data Pembeli Bocor

Kunci yang dicuri dari Keystone bukan kunci yang membuka dompet siapa pun. Ia kunci yang membuktikan sebuah perangkat itu asli, dan di tangan penyerang ia bisa membuat tiruan lolos pemeriksaan.

Produsen dompet kripto perangkat keras Keystone menyatakan pada Senin (26/10/2026) akan menghancurkan 18.835 perangkat yang belum terjual setelah penyerang mencuri kunci autentikasi yang tertanam di tiap perangkat. Menurut laporan The Hacker News, Keystone menemukan akses tak sah ke situs webnya pada 20 Oktober dan memblokirnya hari itu juga. Kebocoran ini juga menyentuh 25.964 catatan pembeli.

Celah di Alat Pemantau Pihak Ketiga Jadi Pintu Masuk

Penyerang memanfaatkan kerentanan pada alat pemantau data pihak ketiga yang dipakai situs Keystone untuk menaikkan hak akses. Dari sana mereka mencapai data pelanggan dan kunci autentikasi. Keystone menyatakan celah itu sudah ditutup.

Perusahaan belum menyebut sejak kapan penyerang berada di sistem dan di mana kunci itu disimpan. Pelakunya juga belum diidentifikasi, sebagaimana dicatat Decrypt.

Kunci Verifikasi yang Tak Bisa Diganti

Pemilik memeriksa keaslian perangkat dengan memindai kode QR di halaman verifikasi Keystone, lalu memasukkan kode yang tampil di layar perangkat. Siapa pun yang memegang kuncinya bisa menghasilkan kode yang valid. "If it is exposed, an attacker could use it to produce counterfeit devices that pass authentication checks," tulis Keystone dalam pernyataannya, seperti dikutip Decrypt.

Kunci itu ditanam saat perangkat diproduksi dan tidak bisa diubah, jadi perangkat yang sudah jadi tidak bisa dipindahkan ke kunci baru. Itu sebabnya 18.835 unit yang masih membawa kunci lama dimusnahkan, sementara perangkat baru akan memakai kunci berbeda. Keystone menegaskan frasa pemulihan dan kunci privat pengguna tidak terlibat, dan belum melaporkan adanya perangkat palsu maupun pencurian dana.

Janji Hapus Data 180 Hari yang Tidak Berjalan

Sebanyak 25.964 catatan pembeli dari pembelian lewat situs resmi pada 2024-2026 terdampak, berisi nama, kontak, alamat pengiriman, dan rincian pesanan. Data kartu pembayaran, rekening bank, dan identitas pemerintah tidak terlibat. Tambahan 12.873 catatan checkout yang belum dibayar ikut disertakan sebagai kehati-hatian. Penjualan lewat Amazon dan kanal lain tidak terdampak.

Keystone sebelumnya berjanji menghapus data pengiriman 180 hari setelah pesanan, tetapi alat penghapus massalnya tidak bekerja andal. "We failed to fulfill our commitment to erase customer data on time, and we accept responsibility for this failure," tulis perusahaan. Masa simpan kini dipangkas menjadi 90 hari. Menurut Decrypt, total catatan yang terlibat 51.083, dan 25.119 di antaranya sudah terhapus; penghapusan sisanya oleh Shopify, penyedia toko daring Keystone, ditargetkan selesai 3 November.

Yang Diminta dari Pemilik Perangkat

Perangkat yang tiba sebelum 20 Oktober dan lolos pemeriksaan boleh dipakai seperti biasa. Perangkat yang diterima setelah tanggal itu dengan kunci lama sebaiknya tidak dipakai sampai dukungan pelanggan Keystone mengonfirmasi keasliannya. Pemilik tidak perlu memindahkan dana hanya karena insiden ini.

Pengiriman pesanan situs dihentikan sementara dan penjualan beralih ke pemesanan di muka sampai perangkat berkunci baru siap; Keystone 3 Pro diperkirakan terkirim empat hingga enam minggu. Keystone memperingatkan penawaran pengembalian dana, penggantian, atau bantuan memindahkan kripto yang datang tanpa diminta adalah penipuan. "We will not ask you to return your device," tulisnya.

Sampai Selasa (27/10/2026), halaman verifikasi Keystone belum memuat petunjuk yang dijanjikan, dan perusahaan belum menjelaskan cara mengenali kunci mana yang tertanam pada sebuah perangkat. Keystone juga belum menjawab apa yang harus dilakukan pembeli yang sudah mengirim kripto ke perangkat berkunci lama. Decrypt mencatat kasus ini sudah dilaporkan ke otoritas di Uni Eropa, Inggris, dan yurisdiksi lain, sementara halaman pengecekan bagi pelanggan terdampak masih direncanakan.

Artikel ini bersifat informasi dan bukan rekomendasi membeli, menjual, atau menyimpan aset kripto tertentu. Keputusan keamanan dan investasi sepenuhnya ada di tangan pembaca.