Trezor dan BitBox Memperingatkan Peringatan Keamanan Palsu pada Dompet Perangkat Keras

Jika ada satu hal yang saya pelajari tentang kripto dalam beberapa tahun terakhir, itu adalah: dompet perangkat keras biasanya bukan masalahnya – manusianya yang menjadi masalah. Inilah yang kembali dimanfaatkan secara agresif oleh para pelaku kejahatan. Trezor dan BitBox (Shift Crypto) menyerukan alarm, dan itu bukan tanpa alasan.
Modusnya sudah lama dikenal, tetapi jelas sangat berbahaya: Anda menerima email yang tampak seolah-olah berasal langsung dari Trezor atau BitBox. Nada mendesak, ajakan bertindak yang jelas. Katanya ada insiden keamanan, firmware telah dikompromikan, atau akun harus segera diverifikasi. Jika mengklik tautan tersebut, Anda akan diarahkan ke halaman yang menyerupai aslinya dan meminta recovery phrase – 12 atau 24 kata yang digunakan untuk memulihkan koin Anda. Siapa pun yang memasukkannya, biasanya langsung kehilangan uangnya.
Apa yang ditemukan BitBox membuat situasi ini tidak menyenangkan: Ternyata beberapa perusahaan Bitcoin menjadi sasaran melalui penyedia layanan newsletter yang sama. Artinya, kemungkinan besar bukan dompetnya sendiri yang diretas, melainkan saluran email dari penyedia layanan. Trezor kini telah mengakui bahwa ada akses tidak sah pada layanan emailnya. Penyerang bisa mendapatkan alamat pelanggan asli – dan sekarang mengirim email phishing yang jauh lebih meyakinkan.
Kedua produsen mengatakan dengan s



angat jelas, dan saya hanya bisa mengulanginya: Tidak ada penyedia layanan yang serius yang pernah menanyakan recovery phrase Anda melalui email, telepon, atau chat. Tidak pernah. Kata-kata ini adalah satu-satunya kunci ke koin Anda. Siapa pun yang memasukkannya secara digital – di mana pun – mempertaruhkan segalanya. Jika pesan seperti itu datang: hapus, jangan klik. Jika ragu, buka langsung situs web resmi di browser dan cari informasi di sana.
Bagi pemilik dompet, ini adalah panggilan bangun lagi. Perangkatnya sendiri aman, kunci privat tidak pernah meninggalkan perangkat keras. Tetapi manusia tetap menjadi titik lemah. Phishing tidak menyasar enkripsi, melainkan kelalaian. Siapa pun yang menyimpan recovery phrase-nya secara offline – di kertas atau logam – dan tidak pernah mengetikkannya ke browser, aplikasi, atau formulir email, sebagian besar terlindungi dari modus ini.
Industri merespons: komunikasi terenkripsi, peringatan di aplikasi, autentikasi dua faktor di mana pun memungkinkan. Meskipun demikian, kasus terkini menunjukkan bahwa phishing tetap menjadi salah satu ancaman terbesar – selama para pelaku kejahatan bisa mendapatkan sejumlah besar alamat pelanggan dengan cara yang mudah. Jadi: tidak hanya amankan dompet, tetapi juga akun email. Dan terhadap peringatan keamanan yang tidak terduga, pada dasarnya bersikap curiga terlebih dahulu.