Dompet dingin hati-hati! Pengguna Trezor dan Ledger terus menerima surat fisik berisi QR Code phishing

Metode penipuan cryptocurrency kembali meningkat, baru-baru ini banyak pengguna dompet perangkat keras seperti Trezor, Ledger, dan lainnya melaporkan menerima surat fisik yang disamarkan sebagai pemberitahuan resmi. Surat tersebut meminta pemindaian QR Code untuk verifikasi paksa, namun sebenarnya menipu pengguna agar memasukkan seed phrase, sehingga aset dapat dicuri. Serangan semacam ini bukan yang pertama kali terjadi, kembali menyoroti risiko jangka panjang dari kebocoran data pribadi dan penipuan rekayasa sosial.

Surat fisik yang menyamar sebagai pemberitahuan resmi, meminta verifikasi identitas dalam batas waktu tertentu

Tim keamanan siber daring Dmitry Smilyanets menunjukkan bahwa banyak pengguna menerima surat kertas bertanda tangan dari Trezor atau Ledger, berisi klaim bahwa mereka harus menyelesaikan “Pemeriksaan Verifikasi Identitas (Authentication Check)” atau “Pemeriksaan Transaksi (Transaction Check)” dalam waktu tertentu, jika tidak, perangkat mereka mungkin dibatasi.

Dilaporkan bahwa tampilan surat tersebut dibuat sangat rapi, termasuk tanda tangan palsu, logo merek, dan stiker anti-pemalsuan, serta dilengkapi QR Code untuk verifikasi. Dalam beberapa kasus, surat bahkan menggunakan tanda tangan atas nama CEO Trezor, Matěj Žák.

Pemindaian QR Code mengarahkan ke situs palsu, menipu pengguna memasukkan seed phrase

Dmitry Smilyanets melaporkan bahwa QR Code dalam surat tersebut akan mengarahkan penerima ke situs berpenampilan menyerupai halaman resmi, yang berisi permintaan memasukkan seed phrase dompet untuk melakukan apa yang disebut “Verifikasi Keamanan”. Setelah seed phrase dimasukkan, data tersebut akan dikirim melalui API backend ke penyerang, memungkinkan mereka mengimpor dompet di perangkat lain dan mentransfer aset.

Pihak resmi Trezor dan Ledger menegaskan bahwa mereka tidak pernah dan tidak akan pernah meminta pengguna untuk memberikan seed phrase melalui situs web, email, atau surat fisik. Jika seed phrase bocor, itu sama saja menyerahkan kendali dompet kepada pihak lain.

Sumber serangan: Kebocoran data Ledger sebelumnya menjadi daftar target

Jenis penipuan surat fisik ini bisa tepat sasaran karena terkait dengan insiden kebocoran data selama beberapa tahun terakhir. Pada 2020, Ledger mengalami kebocoran data akibat insiden keamanan dari mitra e-commerce Shopify, yang mengungkapkan nama dan alamat fisik ratusan ribu pelanggan. Pada 2023, Ledger Connect Kit juga mengalami serangan rantai pasokan. Pada awal 2024, Trezor melaporkan bahwa 66.000 data kontak pengguna tidak sengaja bocor.

Baru bulan lalu, Ledger juga mengalami peretasan dari pihak ketiga, Global-e, yang menyebabkan bocornya nama dan kontak pengguna. Meski pihak resmi menyatakan bahwa kunci pribadi dan data pembayaran tidak terlibat, data tersebut tetap berpotensi digunakan untuk serangan phishing. Bahkan jika perangkat dompet aman secara fisik, bocornya data pengguna tetap berisiko disalahgunakan berulang kali.

(Ledger dan Global-e mengonfirmasi kebocoran data, resmi menyatakan “Perangkat dompet aman”)

Evolusi metode penipuan: dari email ke rekayasa sosial fisik

Melihat tren serangan dalam beberapa tahun terakhir, teknik phishing berkembang dari email dan pesan palsu layanan pelanggan, ke pembuatan aplikasi palsu, bahkan pengiriman perangkat keras palsu dan surat fisik. Surat fisik dapat mengurangi kewaspadaan pengguna, terutama jika desain surat sangat mirip aslinya, sehingga lebih mudah membingungkan. Serangan yang terus bermunculan ini mencerminkan risiko dalam industri kripto terkait perlindungan data dan ketergantungan pada pihak ketiga.

Dmitry Smilyanets mengingatkan bahwa garis pertahanan utama bagi pengguna tetap pada prinsip dasar: “Jangan pernah mengungkapkan seed phrase kepada siapa pun dalam keadaan apa pun.” Di tengah banyaknya insiden keamanan, meningkatkan kewaspadaan pengguna dan keamanan rantai pasokan akan terus menjadi tantangan penting bagi industri.