Kebocoran Data KYC Ancam Pemilik Kripto: Cara Menjaga Privasi Bitcoin

Pada 30 Juni 2025, penyidik Prancis menahan seorang pegawai pajak berusia 32 tahun yang bertugas di dekat Paris. Jaksa menuduhnya memakai perangkat lunak pajak milik negara untuk mencari alamat rumah orang, lalu meneruskan data itu kepada pelaku kriminal. Menurut laporan, di antara profil yang ia tarik terdapat orang-orang yang diduga menyimpan kripto dalam jumlah besar. Ia membantah mengetahui untuk apa informasi itu akan digunakan. Kasusnya masih dalam penyelidikan.

Setahun kemudian, Prancis menjadi titik panas dunia untuk apa yang disebut wrench attack: penculikan, perampokan rumah dan penganiayaan untuk memaksa pemilik kripto menyerahkan koinnya. Pelajarannya berlaku jauh melampaui satu negara. Saat basis data yang menghubungkan nama Anda dengan Bitcoin Anda bocor, risikonya tidak lagi berhenti di dunia online.

Berkas Pajak yang Berubah Menjadi Daftar Target

Pegawai pajak tersebut, yang oleh media Prancis disebut Ghalia C., dituduh turut serta dalam kekerasan dan persekongkolan jahat, menurut laporan Gizmodo. Pengadilan banding Paris menolak pembebasannya pada Januari 2026. Kasusnya hanya satu bagian dari pola yang lebih luas. Kekerasan itu bahkan sudah menyentuh nama-nama paling terkenal di industri ini. Pada Januari 2025, salah satu pendiri Ledger, David Balland, diculik dari rumahnya di Prancis bagian tengah. Polisi membebaskannya keesokan harinya, lapor DL News.

Pada Januari 2026, platform pajak kripto Prancis Waltio mengungkap upaya pemerasan setelah peretas mencuri data yang terkait dengan kira-kira 50.000 akun. Berkas yang dicuri mencakup laporan pajak 2024 berisi alamat email, keuntungan, kerugian dan saldo aset akhir tahun, lapor DL News. Otoritas Prancis memperingatkan pengguna tentang kemungkinan serangan fisik.

Lalu, pada Agustus 2026, otoritas pajak Prancis mengonfirmasi bahwa peretas memakai kredensial staf yang dicuri untuk mengakses data kira-kira 678.000 wajib pajak. Data yang dilaporkan bocor meliputi nama, alamat dan penghasilan acuan. Kira-kira 27.000 di antara mereka melaporkan penghasilan minimal €100.000 per tahun, lapor Unchained.

Angka-angka yang menyusul sangat mencolok:

• 41 penculikan pemilik kripto di Prancis dalam tiga setengah bulan pertama 2026, menurut angka yang dikutip jaksa nasional untuk kejahatan terorganisir.
• 30 dari 46 serangan kekerasan terkait kripto yang tercatat di seluruh dunia pada paruh pertama 2026 terjadi di Prancis, menurut data Chainalysis yang dilaporkan Decrypt.
• Lebih dari $30 juta dirampas dalam serangan-serangan itu hanya dalam enam bulan.

Chainalysis menyebut kebocoran data pajak itu kemungkinan memperluas jumlah orang yang bisa diincar penjahat. Chainalysis juga mencatat bahwa korban sering ditemukan lewat kebocoran data, media sosial atau informasi dari orang dalam. Dengan kata lain, pelaku tidak perlu membobol blockchain apa pun. Mereka hanya butuh sebuah nama di samping sebuah saldo.

Bukan Hanya Prancis: Kebocoran Data yang Membuka Identitas Pemilik Kripto

Prancis adalah contoh paling tajam, tetapi cerita yang sama terulang di bank, exchange, produsen wallet dan penyedia layanan. Tabel berikut memuat beberapa kasus yang paling terdokumentasi.

Ledger: Kebocoran yang Memicu Ancaman di Depan Pintu

Pada 2020, pembobolan basis data pemasaran Ledger membuka data kontak para pembeli hardware wallet. Ketika berkas lengkapnya muncul di forum peretas, isinya mencakup 272.000 alamat rumah, seperti didokumentasikan Cointelegraph. Pelanggan segera menerima email phishing. Sebagian juga menerima surat ancaman yang menuntut pembayaran dalam Bitcoin. Membeli perangkat untuk melindungi koin justru menempatkan pembelinya dalam daftar calon pemilik kripto.

Revolut: Satu Karyawan Tertipu, 50.000 Nasabah Terdampak

Pada September 2022, seorang penyerang masuk ke sistem Revolut dengan memanipulasi seorang staf. Data pribadi 50.150 nasabah terbuka. Pesan phishing yang meniru bank itu segera bermunculan, lapor Which?. Tidak ada dana yang dicuri. Namun nama dan alamat pos nasabah sebuah bank yang ramah kripto kini berada di tangan penjahat.

Coinbase: Saat Orang Dalam Menjual Data

Pada Mei 2025, Coinbase mengungkap bahwa penjahat telah menyuap agen layanan pelanggan di luar negeri untuk menyalin data nasabah. Data yang dicuri mencakup 69.461 orang, termasuk foto kartu identitas resmi, lapor The Register. Pelaku lalu meminta tebusan $20 juta. Coinbase menolak membayar dan memperkirakan biaya insiden itu bisa mencapai $400 juta. Menurut laporan, data tersebut dipakai untuk menyamar sebagai staf dalam penipuan yang terarah.

Kroll: Klaim Kepailitan Menjadi Petunjuk

Pada Agustus 2023, serangan SIM swap terhadap seorang karyawan Kroll membuka data orang-orang yang menagih dana dari pemberi pinjaman yang bangkrut, yaitu FTX, BlockFi dan Genesis. Bagi sebagian penggugat, kebocoran itu menampilkan nama, alamat dan saldo akun, lapor Help Net Security. Mereka sudah kehilangan uang. Kini sisa klaim mereka pun ikut terpampang.

Mengapa Kebocoran Data KYC Lebih Berbahaya daripada Kebocoran Kata Sandi

Sebagian besar kebocoran data itu buruk. Namun data know-your-customer, atau KYC, punya kategori tersendiri karena tiga alasan.

Data ini tidak pernah kedaluwarsa. Kata sandi yang bocor bisa diganti dalam semenit. Nomor paspor, pindaian wajah atau alamat rumah tidak bisa. Begitu data KYC bocor, data itu tetap berguna bagi penjahat selama bertahun-tahun.

Data ini menghubungkan identitas dengan uang. Catatan exchange tidak hanya menyebut siapa Anda. Catatan itu juga menunjukkan apa yang Anda miliki, ke mana Anda menariknya dan kapan. Kombinasi inilah yang dibutuhkan perampok untuk memilih target.

Blockchain mengingat segalanya. Jika data yang bocor memuat salah satu alamat wallet Anda, siapa pun bisa menelusuri riwayat wallet itu ke depan. Setiap pembayaran, setiap transfer dan setiap alamat baru yang didanai darinya menjadi bagian dari profil Anda. Satu kebocoran bisa membuka aktivitas bertahun-tahun.

Berdasarkan aturan kejahatan keuangan di Eropa, perusahaan yang diawasi umumnya menyimpan data nasabah setidaknya lima tahun setelah akun ditutup. Jadi menutup akun tidak menghapus Anda dari basis data.

Dari Spreadsheet ke Depan Pintu: Bagaimana Kebocoran Berubah Menjadi Serangan

Penyidik menggambarkan rangkaian kejadian yang terus berulang. Pertama, kebocoran atau orang dalam menghasilkan daftar nama, alamat dan data akun. Berikutnya, pembeli menyaring daftar itu untuk mencari orang yang kemungkinan memiliki kripto, sering kali berdasarkan saldo atau penghasilan. Kemudian mereka memastikan targetnya, terkadang dengan melacak wallet yang sudah diketahui di block explorer publik. Terakhir, kru bayaran datang ke depan pintu.

Chainalysis menggambarkan kru-kru ini sebagai "amatir saat melakukan kekerasan, tetapi profesional di kedua ujungnya." Riset, pembelian data dan pencairan koin curian dilakukan secara terorganisir. Hanya aksi pembobolannya yang kasar.

Pengembang Bitcoin Jameson Lopp menyimpan catatan publik serangan fisik terhadap pemilik kripto yang mencakup lebih dari satu dekade. Catatan itu menunjukkan kenaikan yang stabil, dengan 2025 mencetak rekor. Benang merah di banyak entrinya sederhana: penyerang tahu siapa korbannya dan kira-kira berapa yang ia miliki.

Solusi Sebenarnya: Buat Data yang Bocor Tidak Mengarah ke Mana Pun

Tidak ada individu yang bisa mencegah kantor pajak, bank atau exchange dibobol. Namun siapa pun bisa mengendalikan apa yang terungkap dari data yang bocor itu. Tujuannya sederhana: catatan yang bocor seharusnya hanya mengarah ke wallet yang kosong, sudah ditutup atau tidak berkaitan dengan tabungan Anda.

Artinya, jaga jarak yang jelas antara dua dunia:

• Dunia yang teridentifikasi: akun exchange, kartu bank dan wallet apa pun yang pernah menerima penarikan dari akun ber-KYC. Anggap semuanya suatu hari akan bocor.
• Dunia pribadi: wallet yang benar-benar menyimpan tabungan Anda atau dipakai untuk pembayaran sehari-hari. Tidak satu pun boleh punya kaitan on-chain dengan dunia yang teridentifikasi.

Mixer Bitcoin menciptakan jarak itu. Koin berpindah dari alamat yang terkait exchange ke alamat mix sekali pakai. Beberapa jam kemudian, sesuai jadwal yang Anda tentukan, koin baru tiba di wallet baru tanpa kaitan yang terlihat dengan wallet lama. Jika basis data exchange bocor di kemudian hari, jejaknya berhenti di mixer. Wallet tabungan Anda tidak pernah muncul di dalamnya.

Apa yang Terungkap dari Data yang Bocor, Dengan dan Tanpa Jarak

Dua baris pertama tidak bisa diperbaiki setelah kebocoran terjadi. Tiga baris terakhir bisa. Justru tiga baris inilah yang memberi tahu penjahat apakah Anda layak diincar.

Yang Harus Dilakukan Jika Data Anda Ikut Bocor

Jika sebuah perusahaan memberi tahu bahwa data Anda terbuka, bertindaklah dengan tenang tetapi cepat.

1. Curigai setiap kontak. Kebocoran selalu diikuti phishing. Tidak ada perusahaan asli yang akan meminta seed phrase, private key atau sesi akses jarak jauh.
2. Pindahkan dana dari alamat yang sudah diketahui. Setiap wallet yang terkait dengan akun yang bocor harus dianggap publik. Kirim saldonya melalui mixer ke wallet yang benar-benar baru.
3. Berhenti memakai wallet yang terbuka. Jangan menerima pembayaran baru di wallet itu. Jangan mendanai wallet baru langsung darinya.
4. Kecilkan jejak publik Anda. Hapus unggahan yang mengisyaratkan kepemilikan kripto. Hindari merchandise kripto atau kotak wallet yang memperlihatkan apa yang Anda miliki.
5. Gunakan alamat pengiriman lain untuk hardware wallet atau barang apa pun yang berkaitan dengan kripto, misalnya layanan kotak surat atau alamat kantor.
6. Pecah kepemilikan Anda. Menyimpan saldo secukupnya di wallet yang mudah dijangkau membatasi apa yang bisa dituntut siapa pun di bawah tekanan.

Untuk sisi wallet yang lebih mendalam, baca panduan privasi Bitcoin. Pengguna Ethereum menghadapi risiko keterkaitan tambahan, yang dijelaskan dalam panduan privasi Ethereum.

Pertanyaan yang Sering Diajukan

Apa Itu Kebocoran Data KYC?

Kebocoran data KYC adalah terbukanya data identitas yang dikumpulkan perusahaan keuangan untuk memverifikasi nasabahnya. Data ini sering mencakup nama, alamat, dokumen identitas, swafoto dan saldo akun. Kebocoran terjadi lewat peretasan, karyawan yang tertipu, orang dalam yang disuap atau vendor pihak ketiga yang lalai.

Perusahaan Kripto Mana Saja yang Pernah Membocorkan Data Nasabah?

Kasus yang terdokumentasi dengan baik antara lain Ledger pada 2020, data klaim kepailitan Kroll pada 2023, Coinbase pada 2025 dan Waltio pada 2026. Bank seperti Revolut juga pernah mengalami kebocoran. Basis data milik negara, seperti otoritas pajak Prancis, juga pernah dibobol.

Apa Itu Wrench Attack?

Wrench attack adalah serangan fisik untuk memaksa seseorang menyerahkan kripto. Namanya berasal dari gagasan bahwa alat sederhana seperti kunci pas bisa mengalahkan enkripsi terkuat. Penculikan dan perampokan rumah adalah bentuk yang paling umum.

Bisakah Saya Meminta Exchange Menghapus Data KYC Saya?

Biasanya tidak bisa dalam waktu dekat. Perusahaan yang diawasi wajib menyimpan data nasabah selama beberapa tahun, sering kali setidaknya lima tahun setelah akun ditutup. Perlindungan yang praktis adalah memastikan data itu tidak lagi mengarah ke wallet Anda saat ini.

Bagaimana Mixer Membantu Setelah Kebocoran?

Mixer memutus kaitan on-chain antara alamat yang terkait exchange dan wallet baru. Data yang bocor mungkin masih menampilkan nama dan alamat penarikan lama Anda. Namun data itu tidak lagi mengarah ke tempat koin Anda berada sekarang.

Apakah Hardware Wallet Cukup untuk Tetap Aman?

Hardware wallet menjauhkan private key Anda dari malware. Saldo dan identitas Anda tetap terlihat persis seperti sebelumnya. Seperti yang ditunjukkan kasus Ledger, sekadar membeli perangkat ini pun bisa menaruh alamat Anda dalam sebuah daftar.

Sumber

• French tax agent allegedly sold personal data of crypto users to criminals, Gizmodo
• French tax agency breach exposes about 678,000 taxpayers, Unchained
• Hackers extort French crypto firm Waltio, DL News
• Crypto wrench attacks: $30M stolen in 2026, Decrypt
• Ledger data leak exposed 270K crypto wallet buyers, Cointelegraph
• Revolut data hack: what you need to know, Which?
• Coinbase confirms insiders handed over data of 70K users, The Register
• Kroll SIM-swap attack: FTX, BlockFi and Genesis clients' info exposed, Help Net Security
• Ledger co-founder David Balland and wife kidnapped in France, DL News
• Physical Bitcoin attacks log, Jameson Lopp
• Know your customer, Wikipedia