Mengapa Lagi Pihak Ketiga? Tinjauan Risiko Rantai Pasokan Coinbase dan Dilema Pertahanan

Penulis: Nicky, Foresight News

Pada 28 Oktober, menurut DelCrxpto dan Chief Information Security Officer SlowMist 23pds, Coinbase mengalami kebocoran data, di mana peretas mendapatkan informasi kontak lebih dari 70.000 pengguna, tetapi belum ada konfirmasi apakah kata sandi atau dana telah dicuri.

Pada hari yang sama, Coinbase memberikan tanggapan, menyatakan bahwa "tidak ada kebocoran data yang terjadi." Menurut pernyataannya, penyedia layanan analisis Amplitude mengalami insiden keamanan yang mempengaruhi sebagian data kontak pelanggan Coinbase serta data pelanggan Amplitude lainnya. Tim tidak menemukan bukti akses tidak sah ke sistem Coinbase, dan dana pelanggan tidak terpengaruh. Perusahaan akan memberi tahu pelanggan yang terkena dampak dan regulator sesuai dengan kewajiban hukum.

Hingga penulisan ini, Amplitude belum memberikan tanggapan terkait insiden ini.

Siapa Amplitude?

Amplitude adalah perusahaan publik yang menyediakan platform analisis produk digital, berkantor pusat di San Francisco, dengan kode saham Nasdaq: AMPL. Bisnisnya membantu perusahaan menganalisis perilaku pengguna di Web dan Aplikasi, dengan fitur termasuk wawasan waktu nyata, pemutaran sesi, pengujian A/B, dan aktivasi data, menggunakan model langganan SaaS.

Perusahaan ini berasal dari Sonalight yang didirikan oleh Spenser Skates dan Curtis Liu pada tahun 2011, awalnya membuat aplikasi pengubah suara menjadi pesan teks, dan pernah memasuki Y Combinator pada musim dingin 2012. Karena kurangnya alat analisis perilaku pengguna yang efektif, keduanya membangun sistem analisis internal, dan kemudian pada tahun 2014 secara resmi beralih ke analisis produk dan meluncurkan merek Amplitude.

Pendiri bersama ketiga, Jeffrey Wang, bergabung pada tahun yang sama, sebelumnya bekerja di Palantir dan Sumo Logic, membantu perusahaan membangun kemampuan pemrosesan data skala besar. Skates saat ini menjabat sebagai CEO, memiliki gelar sarjana teknik biologi dari MIT, dan pernah memenangkan kompetisi pemrograman MIT Battlecode dua kali.

Amplitude terdaftar di Nasdaq pada September 2021, dengan pendapatan sekitar 343 juta USD untuk tahun fiskal 2025, dan memiliki sekitar 750 hingga 800 karyawan, dengan pelanggan mulai dari startup hingga perusahaan Fortune 100. Perlu dicatat bahwa harga saham AMPL telah meningkat sejak 6,6 USD pada akhir Juni, mencapai rekor harga tertinggi tahunan 17,72 USD pada 23 Oktober.

Terkait insiden ini, hingga 28 Oktober, tidak ada informasi publik yang menunjukkan Amplitude mengeluarkan pernyataan resmi atau pengumuman status. Sebelumnya, perusahaan ini juga tidak memiliki catatan kebocoran data besar-besaran di platformnya. Dalam insiden SpotAngels pada September 2026, pihak ketiga menggunakan kredensial yang dicuri untuk mengakses sebagian data yang disimpan di Amplitude, tetapi SpotAngels dengan jelas menyatakan bahwa platform Amplitude tidak diretas.

Amplitude memiliki kasus pelanggan yang jelas di bidang keuangan dan kripto. Ramp Network adalah platform setoran dan penarikan cryptocurrency yang menggunakan secara mendalam analisis Amplitude, eksperimen, dan pemutaran sesi, terutama untuk analisis produk dan wawasan perjalanan pengguna, bukan untuk sistem dana inti. Xapo Bank adalah bank dan lembaga kustodian Bitcoin yang menggunakan Amplitude Analytics dan Feature Experimentation untuk mengoptimalkan proses pembukaan akun, juga tidak melibatkan sistem kustodian inti dan kunci pribadi.

Pelanggan keuangan lainnya termasuk perusahaan fintech AS Dave, Salt Bank, serta beberapa broker forex dan derivatif. Bagi pelanggan jenis ini, risiko terutama terbatas pada data analisis perilaku dan sebagian informasi kontak, bukan transaksi, saldo, atau kunci pribadi. Ancaman utama setelah kebocoran adalah phishing, rekayasa sosial, dan pertukaran SIM, bukan pencurian langsung.

Coinbase menyatakan bahwa insiden tersebut mempengaruhi data pelanggan Amplitude lainnya, tetapi saat ini tidak ada perusahaan spesifik lain yang disebutkan secara publik. Ramp Network, Xapo, dan lainnya juga belum mengeluarkan pernyataan terkait. Pihak yang terkena dampak mungkin memilih untuk memberi tahu pengguna secara pribadi, atau masih dalam proses mengevaluasi cakupan dampak.

Coinbase Pernah Mengalami Insiden Keamanan yang Lebih Serius

Ini bukan pertama kalinya Coinbase menghadapi masalah keamanan data dan akun.

Insiden terburuk terjadi pada tahun 2025. Menurut pengumuman resmi, penjahat menyuap agen layanan pelanggan luar negeri untuk menyalin data dari sistem dukungan pelanggan, melibatkan sekitar 69.461 pengguna. Konten yang bocor termasuk nama, alamat, telepon, email, empat digit terakhir nomor jaminan sosial, informasi bank yang disamarkan, gambar dokumen identitas pemerintah, snapshot saldo akun, dan riwayat transaksi, tetapi tidak melibatkan kata sandi dan kunci pribadi. Penyerang terutama menggunakan informasi ini untuk menyamar sebagai karyawan Coinbase, menipu pengguna untuk mentransfer cryptocurrency mereka sendiri.

Coinbase menolak untuk membayar tebusan sebesar 20 juta USD, dan sebagai gantinya mendirikan hadiah sebesar jumlah yang sama untuk menangkap dan menghukum pelaku, sambil memecat karyawan terkait, memutuskan kerja sama dengan penyedia layanan pelanggan outsourcing, dan secara sukarela membayar kepada pengguna ritel yang ditipu untuk mentransfer koin akibat insiden tersebut. Laporan keuangan kuartal kedua perusahaan tahun 2025 mengonfirmasi biaya terkait sekitar 307 juta USD, termasuk kompensasi kepada pelanggan dan biaya hukum langsung.

Insiden lebih awal terjadi antara Maret hingga Mei 2021. Penyerang mendapatkan email, kata sandi, dan nomor telepon melalui phishing, memanfaatkan celah dalam proses pemulihan akun SMS Coinbase untuk melewati verifikasi dua faktor, dan setidaknya 6.000 akun dana telah ditransfer keluar. Coinbase kemudian memperbaiki celah tersebut dan mengganti penuh dana yang dicuri sesuai dengan nilai saat insiden terjadi.

Kesamaan antara kedua insiden tersebut adalah bahwa kerugian langsung akhirnya ditanggung oleh platform, tetapi begitu data bocor, risiko yang digunakan untuk phishing dan rekayasa sosial akan tetap ada dalam jangka panjang.

Pada 28 Oktober, pendiri Binance Zhao Changpeng (CZ) menulis di platform X bahwa pada hari itu terdapat empat insiden kebocoran data yang dilaporkan, selain penyedia layanan pihak ketiga Coinbase Amplitude, juga melibatkan bursa kripto Korea Bithumb, serta lembaga keuangan tradisional Korea Future Assets dan Daishin Securities.

CZ menunjukkan bahwa informasi yang bocor dari platform perdagangan, termasuk nama, email, nomor telepon, alamat, dokumen identifikasi, dan riwayat transaksi, dapat digunakan untuk phishing, pembajakan kartu SIM, dan serangan rekayasa sosial. Sarannya berfokus pada isolasi akun dan metode verifikasi: menetapkan email dan kata sandi yang independen untuk berbagai platform perdagangan, lebih memilih menggunakan kunci keamanan perangkat keras, Passkey, atau autentikator, menghindari ketergantungan pada verifikasi dua faktor melalui SMS, dan mengaktifkan daftar putih alamat penarikan serta kode anti-phishing. Selain itu, perlu secara berkala memeriksa sesi login akun dan izin kunci API, serta waspada terhadap penipuan yang menyamar sebagai layanan pelanggan.

Dia juga mengingatkan bahwa informasi alamat dan kepemilikan aset yang bocor dapat memicu risiko pemerasan atau perampokan di dunia nyata, sehingga pengguna harus menghindari mengungkapkan kondisi aset pribadi mereka.

Selain itu, menurut pengamatan beberapa lembaga, perkembangan pesat AI sangat terkait dengan meningkatnya insiden keamanan dalam beberapa tahun terakhir. Peran utamanya bukan untuk menciptakan jenis serangan baru, tetapi untuk secara signifikan menurunkan ambang serangan dan mempercepat skala metode yang ada.

Penelitian yang dilakukan oleh Harvard Kennedy School bekerja sama dengan Bruce Schneier menunjukkan bahwa phishing yang dipersonalisasi sepenuhnya otomatis oleh model besar memiliki tingkat klik sekitar 54%, setara dengan ahli manusia, jauh lebih tinggi daripada phishing biasa yang sekitar 12%, dan dapat meningkatkan keuntungan dari aktivitas skala besar hingga 50 kali. Laporan Microsoft juga memberikan data tingkat klik yang serupa. Suara dan video yang dipalsukan secara mendalam semakin memperbesar risiko ini.

Tempo pemanfaatan celah juga semakin cepat. Laporan Microsoft menyatakan bahwa waktu median dari publikasi celah hingga senjata biasanya kurang dari 24 jam. Laporan Ancaman Global CrowdStrike 2026 menunjukkan bahwa aktivitas lawan yang diberdayakan AI meningkat 89%, dan "waktu terobosan" kejahatan siber dari akses awal hingga pergerakan lateral turun menjadi rata-rata 29 menit. Laporan "Biaya Kebocoran Data 2026" IBM menunjukkan bahwa sekitar seperempat kebocoran jahat terkait dengan AI, dan rata-rata biayanya lebih tinggi.

Bruce Schneier menekankan dualitas AI: ia dapat secara efisien mengotomatiskan phishing, tetapi juga dapat digunakan untuk mengidentifikasi niat phishing dengan akurasi tinggi. Dia percaya bahwa dalam jangka pendek, pembela mungkin lebih diuntungkan dalam beberapa aspek, tetapi ini adalah perlombaan senjata yang berkelanjutan. Penilaian lembaga seperti CrowdStrike, Microsoft, dan IBM sejalan: AI sedang mengoptimalkan taktik yang ada seperti rekayasa sosial, pencurian kredensial, dan pemanfaatan celah, bukan membuka garis baru, tetapi peningkatan kecepatan dan skala serangan secara signifikan memperpendek jendela pertahanan.

Bagi industri kripto, tren ini sangat sesuai dengan insiden terkait Coinbase. Kerentanan SMS tahun 2021 bergantung pada phishing untuk mendapatkan kredensial, suap dalam insiden tahun 2025 adalah inti dari penipuan rekayasa sosial untuk mentransfer, dan insiden Amplitude kali ini yang mengekspos email dan telepon, adalah bahan baku untuk phishing dan rekayasa sosial. AI membuat serangan ini lebih dipersonalisasi, multibahasa, lebih sulit dikenali, sekaligus menurunkan biaya dan memperluas jangkauan target. Risiko rantai pasokan dan pihak ketiga juga diperbesar oleh pengintaian dan pemanfaatan yang dipercepat oleh AI.

Konten ini disediakan hanya untuk tujuan informasi umum dan bukan merupakan nasihat keuangan, investasi, hukum, atau pajak. Setiap acara, reward, promosi online, atau informasi terkait yang disebutkan di sini tidak boleh dianggap sebagai rekomendasi, ajakan, atau undangan untuk membeli, menjual, memperdagangkan, atau melakukan transaksi aset kripto apa pun. Aset kripto sangat fluktuatif dan dapat mengakibatkan kerugian. Ketersediaan layanan, produk, dan acara terkait WEEX dapat berbeda-beda di setiap wilayah. Anda bertanggung jawab untuk memastikan bahwa partisipasi Anda sesuai dengan hukum dan peraturan setempat yang berlaku.