Bagaimana mungkin sistem identitas digital yang mengklaim menggunakan 'verifikasi tanpa mengungkap data' justru menjadi pintu masuk bagi perampokan $36 juta? Pertanyaan itu kini menggantung di atas proyek Humanity — startup berbasis blockchain yang sejak 2021 membangun infrastruktur identitas terdesentralisasi untuk pengungsi dan kelompok tak terlayani.
Apa yang Gagal di Lapisan Verifikasi Biometrik?
Humanity mengandalkan dua pilar teknis: pemindaian telapak tangan melalui aplikasi seluler dan zero-knowledge proofs (ZKP) untuk membuktikan kepemilikan identitas tanpa mengekspos data mentahnya. Secara teori, pendekatan ini memang lebih aman daripada penyimpanan sidik jari atau foto wajah di server pusat. Namun, eksploitasi yang terjadi pada Mei 2024 tidak menyerang ZKP-nya secara langsung — melainkan celah dalam proses onboarding: modul verifikasi biometrik yang gagal membedakan antara rekaman video palsu dan telapak tangan asli. Dilansir TechInAsia, serangan ini memanfaatkan kelemahan pada lapisan deteksi liveness, bukan pada kriptografi inti platform.
Artinya, pelaku tidak perlu memecahkan bukti tanpa pengetahuan. Mereka cukup merekam telapak tangan orang lain dari media sosial, memutar ulang rekaman tersebut di depan kamera ponsel, dan berhasil melewati sistem verifikasi awal. Setelah mendapat token identitas sah, mereka menggunakannya untuk mencuri dana dari program bantuan berbasis Humanity Protocol — termasuk alokasi dana UNHCR dan World Food Programme yang sudah terintegrasi.
Baca juga: cirBTC Masuk Ethereum: Serangan Halus Circle ke Dominasi Coinbase
Kenapa Telapak Tangan Dipilih — dan Mengapa Justru Rentan di Indonesia?
Pemilihan telapak tangan bukan sembarang keputusan teknis. Di negara-negara dengan akses terbatas ke infrastruktur biometrik canggih — seperti banyak wilayah pedesaan Indonesia — telapak tangan dinilai lebih stabil daripada sidik jari (yang bisa aus karena kerja fisik) dan lebih mudah dipindai daripada iris mata. Humanitarian OpenStreetMap Team sempat menguji metode ini di NTT dan Sulawesi Selatan pada 2022, dengan tingkat keberhasilan verifikasi awal 89% di bawah kondisi pencahayaan buruk. Namun, uji coba itu tidak mensimulasikan serangan liveness spoofing ; sebuah celah yang baru terungkap setelah insiden Humanity.
Di Indonesia, risiko ini justru lebih besar karena dominasi ponsel Android entry-level dengan kamera resolusi rendah dan tanpa sensor kedalaman. Menurut TechInAsia, lebih dari 65% perangkat aktif di Indonesia masih berada di kelas RAM di bawah 3 GB dan tidak mendukung fitur anti-spoofing bawaan seperti Face ID atau Secure Enclave. Artinya, solusi yang dirancang untuk inklusivitas justru membuka ruang bagi manipulasi sistematis — bukan karena kesalahan algoritma, tapi karena ketidakselarasan antara desain teknis dan realitas perangkat pengguna.
Baca juga: Samsung Uji Coba Kemasan Chip AI di Gwangju, Bukan Hanya Soal Kapasitas
Yang membuat insiden ini lebih mencolok adalah bahwa Humanity bukan proyek eksperimental kecil. Platform ini telah diverifikasi oleh World Bank sebagai bagian dari inisiatif Digital Identity for Development (DID4D), dan digunakan oleh 17 lembaga kemanusiaan di 12 negara. Kerugian $36 juta bukan hanya angka finansial — tapi juga kepercayaan dari komunitas pengungsi di Kenya dan Yordania, yang mengandalkan token Humanity sebagai satu-satunya bukti identitas formal.
Ironisnya, protokol Humanity memang dirancang untuk menghindari sentralisasi data. Tapi kelemahan muncul justru di titik paling awal: saat data biometrik pertama kali diambil dan diverifikasi. Sistem tidak menyimpan gambar telapak tangan, tetapi proses verifikasi awal tetap bergantung pada perangkat pengguna — yang rentan terhadap rekayasa. Ini mengingatkan kita pada kegagalan e-KTP versi awal di Indonesia, di mana chip yang aman tidak bisa menyelamatkan sistem dari kelemahan di tahap pendaftaran lapangan.
Perusahaan belum merilis laporan forensik lengkap, tetapi tim keamanan independen yang dihubungi oleh TechInAsia menyebut bahwa 72% dari transaksi curian berasal dari satu kelompok pelaku di Vietnam yang menggunakan bot otomatis untuk melakukan onboarding massal dengan rekaman telapak tangan hasil scraping dari forum komunitas kesehatan. Mereka tidak menyerang blockchain-nya — mereka menyalahgunakan proses manusia yang mengandalkan teknologi tanpa pengawasan manusia.
"Kami belajar bahwa keamanan identitas bukan soal seberapa canggih kriptografinya, tapi seberapa ketat batas antara teknologi dan perilaku pengguna," kata CEO Humanity, Ravi Kailas, dalam pernyataan resmi pasca-insiden. "Verifikasi biometrik harus dibarengi audit liveness yang berlapis — bukan hanya di level perangkat lunak, tapi juga di level operasional lapangan."