Penipuan phishing Trezor yang dipromosikan melalui iklan bersponsor Google dilaporkan telah menguras seluruh tabungan hidup seorang pengguna, menurut korban. Sementara itu, BTCPay Server merilis patch darurat untuk menambal celah kritis yang sudah aktif dieksploitasi.
Kedua insiden ini terjadi dalam rentang waktu sekitar 24 jam. Tidak satu pun yang langsung menyentuh protokol Bitcoin (BTC), tapi keduanya tetap langsung mengancam dana pengguna.
Iklan Google Mengarahkan Korban ke Situs Phishing Trezor
Korban, yang memposting di X (Twitter) dengan nama David, mengaku iklan pencarian bersponsor pada hari Kamis sebagai penyebabnya. Berdasarkan laporan ini, iklan tersebut menempatkan halaman palsu Trezor, yang dihosting di Google Sites, di atas situs asli pembuat wallet itu.
Siapa pun yang mengetikkan recovery seed di halaman palsu itu akan memberikan kendali penuh wallet mereka ke pelaku.
Data on-chain menunjukkan wallet yang dilaporkan tersebut menerima 24,04 BTC melalui 80 transaksi. Jumlah itu setara dengan sekitar US$1,6 juta pada harga Bitcoin kini mendekati US$65.172. Tapi, hampir seluruh dana itu sudah dipindahkan, menyisakan sekitar 0,04 BTC.
Trezor mengatakan bahwa mereka sudah menindaklanjuti kasus ini secara internal dan melaporkan halaman tersebut agar segera diturunkan.
“Untuk semua yang membaca: selalu pastikan bahwa Anda mengakses situs resmi Trezor dan jangan pernah memasukkan backup wallet Anda ke situs web atau formulir apa pun,” desak tim Trezor dalam unggahan mereka.
Perangkat kerasnya sendiri tidak pernah diretas. Serangan ini berhasil karena seed keluar dari perangkat. Pola ini meniru kasus phishing Uniswap palsu yang menguras US$400.000 dari wallet pada bulan Mei lalu.
BTCPay Server Segera Rilis Patch atas Celah yang Dieksploitasi
Sementara itu, BTCPay Server, perangkat lunak open-source yang memungkinkan merchant menerima pembayaran dengan Bitcoin secara langsung, memberikan peringatan pada hari Jumat.
Ikuti kami di X untuk mendapatkan berita terbaru secara langsung
Tim BTCPay Server meminta operator untuk segera memperbarui ke versi 2.4.2 atau matikan server sampai mereka bisa melakukan pembaruan.
“Rilis kali ini memperbaiki kerentanan kritis yang sedang dieksploitasi secara aktif. Anda harus memperbarui secepat mungkin,” terang catatan rilis proyek tersebut dalam keterangan-nya.
The Bitcoin Red Team, sebuah kelompok peneliti keamanan relawan, melaporkan celah ini kepada para pengembang.
Tapi, patching saja belum cukup menyelesaikan masalah. Operator juga wajib memperbarui macaroon, yaitu kredensial akses yang digunakan node Lightning, serta string autentikasi untuk backend lainnya.
Siapa pun yang membuat hot wallet di dalam BTCPay harus memindahkan dana dan membuat ulang wallet tersebut. Integrator juga harus memperbarui NBXplorer, alat indeksasi pendukungnya, ke versi 2.6.10.
Mengapa Kedua Insiden Ini Penting untuk Self-Custody Bitcoin
Salah satu serangan memanfaatkan kepercayaan terhadap iklan pencarian. Sedangkan insiden lainnya mengeksploitasi kode di server merchant. Keduanya mengabaikan model keamanan Bitcoin dan justru menyasar perangkat lunak serta kebiasaan di sekitarnya.
Phishing masih menjadi ancaman dengan kerugian terbesar di dunia aset kripto. Kerugian akibat pencurian aset kripto di bulan Januari lalu mencapai sekitar US$400,3 juta, dan satu serangan phishing mendominasi lebih dari 70% jumlah tersebut.
Google belum juga menjelaskan bagaimana iklan palsu ini lolos dari proses peninjauan. Kecepatan penurunan halaman tersebut, serta seberapa cepat operator BTCPay melakukan patch, akan menentukan besarnya kerugian yang terjadi.
