Sisi lain dari KYC: Apa yang ada di balik skandal Coinbase

Ancaman, pemerasan, dan bahkan penculikan telah lama menjadi bagian dari sisi gelap dunia kripto - bahkan sebelum adopsi aset digital secara massal. Namun, pembobolan data yang terjadi baru-baru ini di Coinbase telah membawa bahaya ini ke tingkat yang lebih tinggi: kini para pelaku kejahatan memiliki peta terperinci tentang calon korban.

Pertukaran kripto ini menghadapi gugatan hukum karena diduga salah menangani data pelanggan. Menurut penggugat, pelanggaran tersebut mengekspos nama lengkap, alamat rumah, nomor telepon, email, empat digit terakhir dari nomor Jaminan Sosial, pengidentifikasi rekening bank parsial, SIM, paspor, dan informasi terkait akun.

Mengingat hal ini, masalah ini jauh melampaui tanggung jawab hukum atau kerusakan reputasi - ini adalah tentang keamanan fisik yang nyata bagi pengguna yang informasi pribadinya jatuh ke tangan yang salah.

Hal ini menimbulkan pertanyaan kritis: siapa yang harus bertanggung jawab - bursa yang gagal mengamankan data sensitif, atau regulator yang menuntut volume informasi pengguna yang semakin besar di bawah bendera "anti pencucian uang"?

Hal ini pernah terjadi sebelumnya

Ketika pendiri TechCrunch dan pemodal ventura Michael Arrington mengatakan bahwa pelanggaran data Coinbase "dapat membuat orang terbunuh," itu bukanlah hiperbola - itu adalah cerminan dari apa yang telah terjadi di dunia crypto, meskipun sering kali dalam diam. Semakin banyak upaya penculikan tingkat tinggi telah meningkatkan kekhawatiran akan bahaya kehidupan nyata yang dihadapi para penggemar kripto.

Pada bulan Januari, misalnya, pencuri masuk ke rumah salah satu pendiri Ledger, David Balland, di Paris. Ini bukanlah perampokan sembarangan - para penyerang tahu siapa dia dan apa yang dia miliki. Mereka menculik dia dan istrinya, menggunakan ancaman dan kekerasan dalam upaya untuk mendapatkan akses ke aset kripto miliknya.

Di Amerika Serikat, tiga orang bersenjata menyerbu rumah streamer populer Amouranth, mengatur waktu serangan mereka saat ia sedang sendirian. Mereka tahu bahwa dia menyimpan Bitcoin. Mereka memukulinya dan mencoba memaksa transfer kripto. Dia selamat hanya karena dia berhasil menembak terlebih dahulu.

Ada juga kisah-kisah lain yang tidak berakhir dengan tembakan. Kasus-kasus di mana penyerang muncul pada larut malam, membawa anggota keluarga, dan mengeluarkan ultimatum. Dan insiden-insiden ini terjadi sebelum para penyerang memiliki kepastian - ketika mereka masih harus menebak-nebak siapa yang berada di balik dompet, di mana mereka tinggal, atau bagaimana cara menghubunginya. Sekarang, informasi tersebut sudah tersedia untuk umum.

KYC sebagai alat kepercayaan, tetapi apakah industri siap untuk bertanggung jawab?

Ironisnya, semua ini dimulai dengan verifikasi identitas yang tampaknya rutin dan "aman": foto paspor, bukti alamat, dan sedikit biometrik. Bursa telah lama membingkai hal ini sebagai kepatuhan terhadap peraturan - tetapi pada kenyataannya, hal ini juga melayani kepentingan bisnis mereka. Poin-poin data ini membantu membangun profil keuangan, mempersonalisasi penawaran produk, dan memfasilitasi transaksi dengan mitra.

Namun, ketika data ini jatuh ke tangan yang salah, kenyamanan tersebut berubah menjadi risiko yang mengancam jiwa.Seperti yang ditunjukkan oleh Michael Arrington dengan tepat, seseorang yang mengambil setiap langkah yang memungkinkan untuk melindungi keamanan digital mereka masih bisa menjadi korban - hanya karena mereka mempercayai sebuah bursa. Tidak ada jumlah 2FA atau cold storage yang dapat membantu ketika kerentanan tidak berada di pihak pengguna."Bahkan seseorang yang mengikuti semua aturan keamanan dengan sempurna masih bisa menjadi target. Masalahnya bukan pada pengguna - tetapi pada bursa. Dan tidak ada yang benar-benar aman," pungkas Arrington.

Tanggapan Coinbase

Coinbase menyatakan bahwa mereka telah melaporkan insiden tersebut kepada penegak hukum dan bekerja sama sepenuhnya dalam penyelidikan. Perusahaan tidak menyangkal pelanggaran tersebut dan telah mengumumkan hadiah $ 20 juta untuk informasi yang mengarah pada penangkapan peretas. Konsekuensinya sudah signifikan - beberapa perkiraan menempatkan potensi kompensasi kepada pengguna yang terkena dampak mencapai $400 juta.

Loading...

Tweet tersebut telah dihapus oleh penulis.

Tapi kami menyimpan semuanya 🙂.

Menurut pernyataan resmi Coinbase, pelanggaran tersebut terjadi melalui penyuapan kontraktor dukungan pelanggan asing yang memiliki akses ke bagian sistem yang berhadapan dengan klien. Para penyerang mengeksploitasi akses tersebut untuk mencuri data akun yang terbatas. Perusahaan mengklaim bahwa tidak ada kredensial keuangan atau otentikasi yang dikompromikan. Namun, setelah pembobolan tersebut, para pelaku berusaha memeras Coinbase, mengancam akan mempublikasikan informasi yang dicuri.

Namun, seperti yang ditunjukkan oleh Michael Arrington dengan tepat, masalahnya lebih dari sekadar kerugian finansial. Dia berpendapat bahwa hanya tuntutan pidana yang nyata terhadap para eksekutif perusahaan yang gagal melindungi data pengguna yang akan membawa perubahan pada industri ini.

Arrington juga percaya bahwa insiden ini seharusnya mendorong regulator untuk memikirkan kembali ruang lingkup dan risiko verifikasi identitas wajib (KYC), yang mengharuskan pengguna untuk mengungkapkan informasi pribadi yang sangat sensitif.

Loading...

Tweet tersebut telah dihapus oleh penulis.

Tapi kami menyimpan semuanya 🙂.

Tidak ada jalan ke depan tanpa akuntabilitas

Coinbase bukanlah yang pertama - dan kemungkinan besar bukan yang terakhir - yang menghadapi tindakan hukum atas pelanggaran data. Tetapi insiden ini lebih dari sekadar kegagalan regulasi. Ini adalah ujian bagi kedewasaan industri kripto.

Jadi, siapa yang harus bertanggung jawab? Secara teknis, itu adalah bursa. Mereka mengumpulkan dan menyimpan data. Sistem mereka adalah sistem yang dibobol. Dan pengguna mempercayai mereka untuk mengelola aktivitas keuangan mereka. Namun pada dasarnya, seluruh sistem yang harus disalahkan - sebuah struktur yang memaksa platform terpusat untuk menjadi tempat penyimpanan data pribadi yang sangat besar, sering kali tanpa rencana yang berarti untuk melindunginya. Regulator menuntut transparansi yang lebih besar tetapi gagal memberikan perlindungan yang memadai.

Yang paling mengkhawatirkan adalah bahwa pengguna bukanlah mata rantai yang lemah. Meskipun Anda tidak memiliki jutaan, tidak menyimpan kripto di bursa, dan tidak pernah memposting alamat dompet Anda - Anda masih bisa menjadi target. Karena sistem sudah cukup tahu tentang Anda. Dan "cukup" itu suatu hari nanti bisa berakibat fatal.

Standar yang baru seharusnya bukan "lebih banyak data", tetapi lebih sedikit kerentanan

Mungkin ini saatnya untuk memikirkan kembali seluruh logika KYC dalam kripto. Selama tetap terpusat, bertemplate, dan terekspos, pengguna tidak akan merasa aman.

Mata uang kripto telah memasuki era adopsi massal. Pertanyaannya bukan lagi apakah verifikasi diperlukan - tetapi siapa yang akan bertanggung jawab untuk itu, dan bagaimana caranya.Karena jika tidak ada yang bertanggung jawab, pelanggaran berikutnya mungkin tidak hanya memicu tuntutan hukum - tetapi juga bisa memakan korban.