Kelemahan Mengaktifkan Biometrik untuk Wallet dan Exchange Approval

[masulum]

Source: https://assets.berca.co.id/wp-content/uploads/2024/03/09162630/109.jpg

Era modern saat ini, ada banyak sekali kemudahan yang diberikan oleh penyedia layanan keuangan untuk mengamankan dan memudahkan transaksi. Salah satu metode keamanan yang juga untuk kemudahan adalah dengan mengaktifkan biometrik.

Apa itu biometrik?
Secara sederhana, definisi biometrik adalah pengukuran biologis atau ciri-ciri fisik individu untuk dijadikan bahan identifikasi ^[1].

Kita semua sudah sangat sering menemukan perangkat yang dilengkapi biometrik untuk waktu yang lama. Tetapi, baru beberapa tahun terakhir wallet dan exchange menawarkan fingerprint dan/atau Face ID bukan hanya untuk membuka aplikasi, tetapi juga untuk menyetujui transaksi. Metode ini tentu akan terasa sederhana dan praktis bagi pengguna, dibandingkan dengan penggunaan Pola dan PIN/password.

Biometrik tidak mudah untuk ditiru walaupun potensi data rekaman sidikjari atau wajah juga bisa terkespos akibat kesalahan pengguna yang membuka/mengunduh/memasang aplikasi yang terinfeksi program jahat untuk mengambil data tersebut. Namun, untuk saat ini disinyalir masih cukup jarang dan hampir tidak ditemukan. Yang bahaya sebenarnya bukanlah malware tetapi ketika seseorang memberikan akses terhadap perangkat.

Jika aplikasi/penyedia memberikan kewenangan untuk melakukan transaksi hanya berdasarkan biometric approval, mungkin pengguna lain tidak perlu mengetahui password wallet kita untuk menyetujui transaksi dari wallet tersebut. Hal ini sudah saya praktikkan terhadap beberapa aplikasi yang menggunakan biometrik approval.

EXCHANGE
OKX & Binance, saya menggunakan akun A dan B untuk testing, dimana kedua akun ini berada di 2 device berbeda. Saya melakukan transaksi P2P dari akun B dan device B yang bukan punya saya (punya istri), karena di ponsel tersebut saya memiliki akses, hanya dengan biometrik tersebut saya sukses melakukan P2P.

e-Wallet Lokal
Saya juga mencoba di e-wallet lokal seperti OVO yang diaktifkan biometriknya, seperti kasus pada exchange, saya bisa melakukan transfer uang dari perangkat istri dengan akun OVO istri karena ada akses sidikjari saya di ponsel tersebut.

Jadi, keamanan biometrik memang tidak dapat dengan mudah untuk diretas, namun ketika Anda menggunakan perangkat ini perangkat bersama dengan orang lain (pasangan Anda misalnya), maka pasangan Anda dapat mengambil alih akun Anda dengan mudah. Memang, sekilas akan mustahil bagi Anda sebagai pemilik perangkat untuk berbagi akses, namun banyak sekali pasangan yang berbagi perangkat, jika pada suatu saat terjadi masalah keluarga, akses biometrik ini bisa menjadi senjata bagi mereka yang memiliki niat jahat terhadap akun Anda.

NB: Meskipun mustahil, saya harap ini menjadi satu pelajaran penting bagi kita semua.
[1]: https://id.kaspersky.com/resource-center/definitions/biometrics

[panjul07]

Jadi, keamanan biometrik memang tidak dapat dengan mudah untuk diretas, namun ketika Anda menggunakan perangkat ini perangkat bersama dengan orang lain (pasangan Anda misalnya), maka pasangan Anda dapat mengambil alih akun Anda dengan mudah. Memang, sekilas akan mustahil bagi Anda sebagai pemilik perangkat untuk berbagi akses, namun banyak sekali pasangan yang berbagi perangkat, jika pada suatu saat terjadi masalah keluarga, akses biometrik ini bisa menjadi senjata bagi mereka yang memiliki niat jahat terhadap akun Anda.

Sampai saat ini ane sendiri hanya menggunakan sidik jari buat buka kunci hp aja, kalo buat aplikasi2 yang berhubungan dengan duit/crypto ane lebih milih pake password/pin plus 2FA.
Kalo untuk kasus pasangan sendiri sih spertinya ga terlalu menakutkan, tapi yang bahaya adalah sidik jari kita itu kan pasti nempel disemua barang yang kita pegang dan kemungkinan lain adalah ketika kita berswafoto yang menunjukkan sidik jari kita macam acungan jempol atau peace mode dan kemudian diupload ke sosmed.
Di case ini, bisa saja orang2 jahat yg punya keahlian tertentu dan sudah punya target korban bisa menggunakan foto tersebut atau dengan menggunakan barang2 yang dipegang calon korban untuk membuat sidik jari buatan.
Yang paling berbahaya adalah, sekali kena retas biometrik kita (sidik jari atau face id) maka ini sifatnya permanen seumur hidup karena kita ga bisa merubah sidik jari kita sendiri, berbeda dengan password/pin yang mana bisa kita gonta-ganti secara berkala.

[abhiseshakana]

Jadi, keamanan biometrik memang tidak dapat dengan mudah untuk diretas, namun ketika Anda menggunakan perangkat ini perangkat bersama dengan orang lain (pasangan Anda misalnya), maka pasangan Anda dapat mengambil alih akun Anda dengan mudah. Memang, sekilas akan mustahil bagi Anda sebagai pemilik perangkat untuk berbagi akses, namun banyak sekali pasangan yang berbagi perangkat, jika pada suatu saat terjadi masalah keluarga, akses biometrik ini bisa menjadi senjata bagi mereka yang memiliki niat jahat terhadap akun Anda.

NB: Meskipun mustahil, saya harap ini menjadi satu pelajaran penting bagi kita semua.
[1]: https://id.kaspersky.com/resource-center/definitions/biometrics

Untuk satu hp didaftarkan beberapa biometrik, bukan cuma wallet yang bisa diakses, tetapi i-banking dan App lainnya juga bakal keakses. Jadi apapun itu jika Biometrik dipilih sebagai 2FA maka untuk setiap identitas yang terdaftar pada Biometrik di device tersebut akan memiliki akses untuk bisa masuk ke akun app tersebut.

Kalo memang yang diinginkan adalah kerahasiaan (keamanan) akun wallet maupun exchange, maka solusinya ya harus perlu menyiapkan gadget khusus yang hanya diperuntukan buat keperluan itu saja, sehingga untuk opsi biometrik sebagai 2FA bagi wallet / exchange / app finansial lainnya bisa dilimitasi hanya satu person saja. Sehingga ketika pasangan ingin menggunakan atau meminjam HP sehari-hari kita tidak ada yang perlu dicemaskan lagi karena di HP itu tidak lagi ada app wallet atau app finansial lainnya.

[TedMosby]

Ini mengingatkan saya sama kasusnya wrss29 di X. Walau ada yg meragukan dan menganggap ceritanya fake, bagi saya apa yg diceritain sama dia sangat mungkin terjadi di dunia nyata.
 


Jadi beberapa bulan lalu dia ngepost di X, menceritakan kalo dia habis kecolongan 189 SOL (sekitar 380an juta rupiah saat post ini ditulis). Dia awalnya nongkrong di salah satu beach club di Bali sama teman2nya. Gak lama disamperin sama cewek2 Australia. Dan asiklah mereka ngobrol, minum2 sampe beberapa shot. Nah, mungkin di sini wrss29 udah mabok, jadi si wrss29 ditanyain akun IGnya, si cewek minta hpnya biar dia yg ngetikin akun IG dia (mungkin biar wrss29 yg follow). Dia pun ngasi hpnya yg udah posisi unlocked tersebut ke salah satu cewek untuk ngetik akun IGnya. Di sana lah dia kehilangan 189 SOL dari Phantom walletnya.

Okelah mungkin dia gak pake keamanan biometrik (fingerprint atau face id) untuk wallet Phantomnya, tapi di sini maksud saya di kondisi seperti itu, walau punya pengamanan pin dan biometrik berlapis2 pun sepertinya tidak cukup, soalnya dalam keadaan mabuk kontrol diri sudah tipis. Pengamanan2 seperti itu cuma membantu saat kitanya juga lagi dalam kesadaran penuh

Semakin mainstream kripto, kejahatan seperti ini akan makin biasa terjadi. Sekarang hp hilang di jalan mungkin cuma hp aja yg hilang. Nanti, saat semua orang melek kripto, ya bakal dicari2 dulu itu app2nya, dilihatin asset2nya, kalo orang yg nemu agak baik, jadi lebih gede nebusnya. Kalo yg jahat, ya mau gimana lagi

Sumber:
https://x.com/wrss29/status/2079473884651491549

[Luzin]

Untuk satu hp didaftarkan beberapa biometrik, bukan cuma wallet yang bisa diakses, tetapi i-banking dan App lainnya juga bakal keakses. Jadi apapun itu jika Biometrik dipilih sebagai 2FA maka untuk setiap identitas yang terdaftar pada Biometrik di device tersebut akan memiliki akses untuk bisa masuk ke akun app tersebut.

Sebenarnya saya tidak pernah memakai fitur perangkat bersamaan dengan pasangan saya (saya sudah beristri)  . Intinya kami saling percaya dan menjaga kepercayaan itu. Balik ke aplikasi biometrik untuk mengunci device. Saya mencoba fitur keamanan tambahan di aplikasi. Intinya device saya saat lock scren akan masuk maka butuh sidik jari saya atau fitu keamanan lain seperti biometrik wajah saya. Tapi saya juga menerapkan keamanan pada aplikasi tertentu saya dengan biometrik wajah ataupun sidik jari  saya. Jadi ketika akan membuka plikasi tertentu maka harus pakai aproval dari kemanan yang saya pilih. Jadi intinya berlapis, apakah jika berbagi perangkat bersamaan ini juga bisa diakses dengan mudah saya belum tau. Tapi nampaknya ini juga opsi bagus selain memiliki device terpisah untuk akses penting. CMIIW

[ryzaadit]

Sampai saat ini ane sendiri hanya menggunakan sidik jari buat buka kunci hp aja, kalo buat aplikasi2 yang berhubungan dengan duit/crypto ane lebih milih pake password/pin plus 2FA.

-snip-
Tapi saya juga menerapkan keamanan pada aplikasi tertentu saya dengan biometrik wajah ataupun sidik jari  saya. Jadi ketika akan membuka plikasi tertentu maka harus pakai aproval dari kemanan yang saya pilih. Jadi intinya berlapis, apakah jika berbagi perangkat bersamaan ini juga bisa diakses dengan mudah saya belum tau. Tapi nampaknya ini juga opsi bagus selain memiliki device terpisah untuk akses penting. CMIIW

Biometrik Sidik Jari memang tidak cocok untuk hal-hal penting, apalagi berkaitan dengan keuangan. Kalaupun memang mau pakai Biometrik masih harus dikombinasikan dengan PIN. Mungkin langkah ini juga bisa jadi opsi

• Buat Folder Aman.
• Kunci Folder Aman Menggunakan PIN/Password.
• Masukan Apps penting ke Folder Aman.

Ada juga Folder Aman yang berkamuflase macem aplikasi² lain macam Kalkulator dll. Jadi bisa pakai Folder Aman tipe kamuflase biar bisa berkamuflase dengan apps lain. Karena kalau Nama Foldernya : Folder Aman bisa mengundang rasa penasaran makanya penting banget untuk bikin Folder Aman yang bisa berkamuflase. Penarikan di apps pun juga harus berlapis, macam 2FA & Emails walau memang sudah pakai Biometrik.

-snip-
Jadi beberapa bulan lalu dia ngepost di X, menceritakan kalo dia habis kecolongan 189 SOL (sekitar 380an juta rupiah saat post ini ditulis).
-snip-

FYI: Saya masih ingat betul cerita mengenai kasus ini. Hanya mau meluruskan bahwa cerita ini fake, dan dibuat hanya untuk engagement social media dia untuk yah nawarin layanan-layanan yang mau dia tawarkan atau iklankan. Cuman udah di konfirmasi bahwa ini fake om.

Endingnya, dikulitin dia di X: https://x.com/StarPlatinum_/status/2079890326018261172
Banyak kasus penipuan yang dia lakukan.

[mu_enrico]

Kelemahannya ya itu tidak bisa memilih sidik jari mana yang bisa mengaktifkan aplikasi.
Sudah menjadi lumrah kalau bini minta bisa akses hp pakai sidik jarik, cuma konsekuensinya bisa akses tak terbatas, transfer bank, ewallet, dan dompet kripto.
Kalau bisa ada opsi:
- Buka kunci hp: semua sidik jari
- Buka bank x yang saldonya dikit: semua sidik jari
- Buka bank y yang saldonya banyak: sidik jare ane only
- Buka dompet kripto: sidik jare ane only

Mungkin ada hp yang bisa begitu? Ane asli ga tau.

Biometrik Sidik Jari memang tidak cocok untuk hal-hal penting, apalagi berkaitan dengan keuangan. Kalaupun memang mau pakai Biometrik masih harus dikombinasikan dengan PIN. Mungkin langkah ini juga bisa jadi opsi

• Buat Folder Aman.
• Kunci Folder Aman Menggunakan PIN/Password.
• Masukan Apps penting ke Folder Aman.

Ini bisa jadi opsi juga, cuma keknya kurang praktis dibandingkan ide ane...

[joniboini]

Soal multiple fingerprint itu setahu ne di Android ada opsinya, cuma terbatas nambahin profil sidik jari secara umum, bukan per app. Seingat ane pernah make ini untuk kemudahan unlock salah satu HP ane karena lokasi sensornya dibelakang (ane pake tengah dan telunjuk). Di mac juga ada opsi multiple fingerprint per user ID seingat ane, cuma ga tahu apakah penerapannya bisa dipake per app atau tidak. Harusnya sih bisa karena logikanya app tinggal meminta fingerprint sesuai profil yang kita pilih, cuma belum pernah ane cobain sendiri karena device juga cuma ane yang punya.

[Chikito]

Jadi, keamanan biometrik memang tidak dapat dengan mudah untuk diretas, namun ketika Anda menggunakan perangkat ini perangkat bersama dengan orang lain (pasangan Anda misalnya), maka pasangan Anda dapat mengambil alih akun Anda dengan mudah. Memang, sekilas akan mustahil bagi Anda sebagai pemilik perangkat untuk berbagi akses, namun banyak sekali pasangan yang berbagi perangkat, jika pada suatu saat terjadi masalah keluarga, akses biometrik ini bisa menjadi senjata bagi mereka yang memiliki niat jahat terhadap akun Anda.

"It depends on your wife", itu tergantung pada pasangan anda sih, kalau memang pasangan anda ini "jahat", jangan gunakan bersama-sama, tapi kalau kamu percaya 100% pasangan anda untuk menjaga amanah ketika sharing credential, maka itu juga dapat meminimalisir resiko "kehilangan harta".

Kita tentu masih ingat Gerald Cotten [1], bos QuadrigaCX exchange yg meninggal tiba-tiba, dia pergi tanpa seorang pun tahu sandi dan password exchange, dia mengelola crypto 110 juta pounds, dimana istrinya juga tidak tahu menahu sandi dan password sehingga crypto tersebut lenyap tanpa sisa.

Kalau saya sih (dari istri sampe ke anak) tahu pin dan password (crypto), khusus istri bisa membuka biometrik hp dan exchange indodax saya. Karena yang namanya ajal kan siapa yang tahu, kita sebagai keluarga harus meminimalisir resiko tersebut.

[1]. https://news.sky.com/story/crypto-trader-boss-dies-with-password-to-clients-110m-11628106

[jcojci]

Coba pisahkan hape untuk m-banking, exchanges, wallet dan hal-hal yang berhubungan dengan keuangan di hape terpisah dan tidak perlu dibawa kemana-mana. Kalau tidak mendesak sekali, tidak perlu menggunakan m-banking atau bisa juga memisahkan aplikasi m-banking untuk aktivitas sehari-hari yang mana saldonya tidak terlalu banyak.

Kejahatan dengan modus biometrik ini semakin lama semakin marak sehingga perlu perhatian dari kita pribadi untuk memisahkan keuangan yang biasanya di satu hape mulai dipisahkan ke hape lainnya. Dan yang mengetahui tentang hal itu hanya orang-orang terdekat seperti suami/istri, anak (yang sudah dewasa) atau orang tua.

Intinya jangan menggabungkan aplikasi keuangan dengan aplikasi sehari-hari di hape yang sama karena aplikasi sehari-hari itu pastinya akan bersama dengan kita di saat keluar rumah. Tapi tidak setiap hari kita menggunakan aplikasi keuangan jadi kita tidak perlu membawa-bawa hape. Ini pelajarang penting yang harus kita ingat untuk menghindari kejadian buruk.

[bitLeap]

Sebetulnya masalah keamanan itu bukan pada sistem walletnya, tapi penggunanya.  Saya sendiri masih menggunakan 2fa authenticator sama otp email saat mau penarikan dari market lokal maupun non lokal. Namun untuk wallet web3 hampir semua menggunakan sidik jari karena setiap kali buka aplikasinya selalu ditawarkan untuk segera mengaktifkan fitur kemanan, selain simpel dan memang cepat tentu ini membantu untuk transaksi. Kalau soal akses pihak lain sejauh ini tidak pernah terjadi hal hal yang tidak diinginkan dan memang penggunaan sidik jari sudah termasuk lapisan keamanan maksimum.