Menyamar sebagai kurir pengantar barang untuk merampok crypto senilai 4,3 juta USD langsung di rumah pribadi

Skenario serangan yang sederhana namun efektif: menyamar sebagai kurir pengantar barang, mengetuk pintu, masuk paksa dengan senjata api dan memaksa pemilik rumah untuk menyerahkan private key.

Pada bulan Juni 2024, tiga pria melakukan skenario persis ini di sebuah apartemen di Inggris dan berhasil mengambil alih lebih dari 4,3 juta USD crypto.

Lima bulan kemudian, Pengadilan Sheffield Crown menjatuhkan hukuman kepada Faris Ali bersama dua rekannya, setelah polisi Metropolitan berhasil menyita hampir seluruh aset yang dicuri.

Kejadian ini, yang didokumentasikan oleh investigator blockchain ZachXBT, menjadi bukti penting bagi pertanyaan yang selama ini dihindari industri crypto: seberapa penting keamanan operasional (operational security) ketika aset bernilai tersimpan di browser, sementara alamat rumah merupakan informasi publik?

Bagaimana perampokan ini terjadi?

Waktu penyerangan terjadi di celah antara insiden kebocoran data dan kesadaran korban terhadap risiko.

Chat yang diperoleh ZachXBT menunjukkan para tersangka mendiskusikan strategi beberapa jam sebelum serangan, membagikan foto gedung korban, mengonfirmasi posisi di depan pintu, dan menyepakati cerita penyamaran. Sebuah foto memperlihatkan ketiganya mengenakan seragam pengantar barang. Beberapa menit kemudian, mereka mengetuk pintu—korban, yang mengira akan menerima paket, membuka pintu.

Akibatnya, terjadi transfer paksa ke dua alamat Ethereum, dilakukan di bawah ancaman senjata. Sebagian besar koin yang dicuri tetap diam di wallet ini hingga penegak hukum turun tangan.

ZachXBT menelusuri jejaknya melalui analisis on-chain dan percakapan bocor di Telegram. Chat tersebut mengungkap rencana kriminal dan riwayat pidana: beberapa minggu sebelum perampokan, Faris Ali mengunggah foto surat jaminan, membocorkan nama aslinya ke teman-temannya di Telegram.

Setelah kejadian, seseorang tak dikenal mendaftarkan domain ENS farisali.eth dan mengirim pesan on-chain, secara publik menuduh di ledger Ethereum. ZachXBT membagikan temuannya ke korban, yang kemudian meneruskannya ke otoritas. Pada 10/10/2024, ZachXBT mempublikasikan investigasi detail, dan pada 18/11, pengadilan Sheffield Crown mengeluarkan putusan.

Tren yang lebih luas

ZachXBT menemukan bahwa kasus ini merupakan bagian dari tren meningkatnya insiden penyerangan rumah terhadap pemilik crypto di Eropa Barat, dengan frekuensi lebih tinggi dibandingkan wilayah lain.

Metode serangan bervariasi: SIM swap yang membocorkan recovery phrase, phishing yang mengungkap saldo wallet, social engineering untuk menentukan lokasi aset, namun kesamaan utamanya adalah ketika pelaku telah memastikan korban memiliki nilai besar dan mengetahui alamat rumah, mereka beralih ke pemaksaan fisik.

Mengapa modus pengantaran sangat efektif

Penyamaran sebagai kurir memanfaatkan kepercayaan terhadap sistem logistik. Membuka pintu untuk kurir adalah perilaku wajar, bukan kesalahan keamanan.

Pelaku memahami bahwa tantangan terbesar dalam menerobos rumah adalah masuk tanpa menimbulkan kecurigaan. Seragam dan paket menciptakan alasan logis untuk menunggu di depan pintu. Ketika pintu terbuka, unsur kejutan langsung terjadi.

Metode ini sulit diperluas karena membutuhkan kehadiran fisik, meninggalkan jejak forensik, dan gagal jika korban menolak membuka pintu. Namun, cara ini menembus semua lapisan keamanan digital: wallet multi-signature, perangkat keras, atau cold storage tidak berguna jika dipaksa menandatangani transaksi secara langsung. Titik lemah terletak pada manusia pemegang kunci, tinggal di alamat tetap yang dapat ditemukan melalui data bocor atau catatan publik.

Pelajaran perlindungan dan biaya opsec

Kasus ini menuntut pemilik aset besar untuk meninjau ulang cara mengelola dan mempublikasikan aset.

Pelajaran langsung adalah pencegahan: memisahkan aset, menghapus data pribadi dari basis data publik, menghindari membagikan saldo wallet di media sosial, menganggap setiap kunjungan tidak biasa sebagai ancaman.

Namun, langkah-langkah ini “berbiaya” dari sisi kenyamanan, transparansi, dan partisipasi di komunitas crypto tanpa menjadi target.

Permasalahan jangka panjang adalah pasar asuransi. Penyedia kustodian ( custody) tradisional memiliki asuransi dan jaminan keamanan fisik, sementara self-custody (self-custody) tidak memiliki, yang menjadi salah satu kekurangan langka. Jika penyerangan rumah menjadi ancaman yang dapat diprediksi, kebutuhan layanan penyimpanan dengan asuransi atau perlindungan pribadi akan meningkat. Keduanya mahal dan menukar kendali yang melekat pada self-custody.

Kebocoran data adalah risiko utama: exchange terpusat, platform analitik blockchain, laporan pajak, dan layanan Web3 yang membutuhkan KYC semuanya menyimpan data yang menghubungkan identitas dengan wallet. Jika basis data ini bocor, akan menjadi “daftar belanja” bagi pelaku kejahatan, memadankan saldo wallet dengan alamat rumah.

Rekomendasi ZachXBT untuk “mengawasi informasi pribadi ketika bocor secara online” memang tepat, tapi mengasumsikan korban memiliki alat dan kewaspadaan untuk memantau kebocoran secara real time—sesuatu yang mayoritas orang tidak miliki.

Kemampuan penegakan hukum juga terbatas: ZachXBT adalah individu yang bekerja secara sukarela. Polisi umumnya kurang memiliki kemampuan forensik on-chain untuk melacak crypto curian tanpa bantuan eksternal. Polisi Metropolitan berhasil karena menerima seluruh hasil investigasi yang sudah tersedia.

Implikasi bagi self-custody

Pertanyaan yang lebih besar: apakah self-custody masih menjadi pilihan default bagi pemilik aset besar?

Industri crypto telah berdebat selama satu dekade bahwa individu harus mengendalikan private key dan kedaulatan aset layak dibayar dengan biaya operasional. Argumen ini valid ketika ancamannya adalah runtuhnya exchange atau penyitaan pemerintah, namun melemah ketika ancamannya adalah seseorang berseragam kurir membawa senjata dan daftar alamat dari data bocor.

Jika pemilik aset besar menyadari self-custody menimbulkan risiko fisik yang tak dapat diterima, mereka akan beralih ke platform institusional berasuransi, menukar desentralisasi demi keamanan. Jika tetap memilih self-custody namun berinvestasi besar di keamanan dan privasi, crypto akan menjadi budaya bawah tanah bagi orang kaya dan waspada.

Kasus di Sheffield Crown Court menutup satu babak: pelaku telah tertangkap, korban mendapatkan kembali asetnya, ZachXBT mendapat tambahan studi kasus. Namun titik lemah sistem tetap ada: selama aset besar dapat dipaksa berpindah dalam waktu kurang dari satu jam dan data bocor masih menghubungkan saldo wallet dengan alamat rumah, semua lapisan enkripsi tidak mampu melindungi manusia pemegang kunci.

Thạch Sanh