Dua dari platform akun pensiun kripto paling terkemuka, BitcoinIRA dan iTrustCapital, telah mengalami pelanggaran data yang memicu gelombang serangan rekayasa sosial, dengan detektif on-chain ZachXBT menghubungkan insiden-insiden tersebut dengan aktor ancaman berbasis AS bernama Tiffany Milanovich. Kerugian hingga kini: setidaknya $5 juta mata uang kripto yang dicuri.
Satu korban saja kehilangan $1,2 juta dalam bitcoin dan ethereum setelah menerima email palsu yang tampaknya berasal dari BitcoinIRA. Tidak ada perusahaan yang secara publik mengakui atau memberikan komentar tentang pelanggaran tersebut.
Bagaimana serangan tersebut bekerja
Bukti yang diungkap oleh ZachXBT menunjukkan bahwa Milanovich mendapatkan akses tidak sah ke database pelanggan di BitcoinIRA dan iTrustCapital, memberinya bahan mentah yang diperlukan untuk menjalankan kampanye phishing yang sangat terarah.
Dengan memanfaatkan detail pribadi, Milanovich diduga menyamar sebagai perwakilan dukungan pelanggan. Dia mengirim email penipuan yang dirancang untuk tampak seperti komunikasi resmi platform, lalu mengikuti dengan panggilan telepon. Tujuannya adalah social engineering klasik: menipu korban agar mengungkapkan kunci pribadi dan seed phrase.
Dalam satu insiden yang sangat merugikan pada Juni, korban menerima email yang tampaknya sah dari BitcoinIRA. Pesan palsu tersebut menyebabkan pencurian Bitcoin dan Ethereum senilai $1,2 juta.
Epidemi penipuan pemalsuan yang terus meningkat
Pelanggaran-pelanggaran ini tidak terjadi secara terpisah. FBI mencatat 80.000 keluhan terkait peniruan dukungan teknis pada tahun 2025, dengan kerugian mencapai $2,9 miliar. Chainalysis melacak peningkatan mencengangkan sebesar 1.400% dalam penipuan semacam ini selama beberapa tahun terakhir.
Investigasi ZachXBT mengaitkan setidaknya $5 juta dalam pencurian kripto total kepada Milanovich di kedua platform.
Keheningan platform menimbulkan pertanyaan
Pada pertengahan Agustus, baik BitcoinIRA maupun iTrustCapital belum mengeluarkan pernyataan publik yang mengonfirmasi pelanggaran tersebut, mengungkap cakupan data yang tercompromi, atau menjelaskan langkah-langkah perbaikan bagi pelanggan yang terdampak.
Hukum pemberitahuan pelanggaran data AS bervariasi menurut negara bagian, tetapi sebagian besar mengharuskan perusahaan untuk memberi tahu individu yang terdampak dalam jangka waktu yang wajar. SEC dan regulator negara bagian juga telah memperketat harapan terkait pengungkapan keamanan siber untuk perusahaan jasa keuangan, termasuk yang beroperasi di ruang aset digital.
Apa yang harus diwaspadai oleh investor
Pesan utama bagi siapa pun yang menyimpan aset di salah satu platform adalah untuk memperlakukan setiap komunikasi tak diundang, email, panggilan telepon, atau pesan teks dengan sangat waspada. Tidak ada perwakilan dukungan pelanggan yang sah yang akan pernah meminta kunci pribadi atau seed phrase Anda.
Investor harus mengaktifkan otentikasi dua faktor pada setiap akun yang terhubung dengan aset kripto mereka, sebaiknya menggunakan autentikator berbasis perangkat keras daripada SMS, yang rentan terhadap serangan SIM-swap. Memverifikasi setiap komunikasi dengan menavigasi secara mandiri ke situs web platform atau menelepon nomor dukungan yang dipublikasikan adalah kebersihan dasar yang menjadi krusial di lingkungan di mana penyerang sudah memiliki detail pribadi Anda.