Coinkite memperingatkan pengguna Coldcard Mk3 agar segera memindahkan dana, menyusul penyapuan 594,5 Bitcoin (BTC) dari 500 alamat dan temuan kelemahan serius dalam proses pembuatan seed.
Poin Penting:
- Setiap rilis firmware Mk3 sejak versi 4.0.1 berpotensi menghasilkan seed yang rentan.
- Pengguna Mk4, Mk5 dan Q dengan firmware lama wajib memperbarui perangkat, membuat seed baru, lalu memigrasikan dana.
- Tidak ada dompet multisig maupun Taproot di antara korban yang dilaporkan.
Risiko Seed Coldcard
Coinkite dalam sebuah pengumuman keamanan menyatakan seluruh firmware Mk3 sejak versi 4.0.1 yang dirilis pada Maret 2021 terdampak masalah entropi pada seed dompet yang dihasilkan perangkat. Seed yang dibuat di Mk4 dan Mk5 sebelum versi 5.6.0, atau di Q sebelum 1.5.0Q, juga dinilai berisiko tinggi.
Perusahaan menjelaskan seed terdampak hanya memiliki sekitar 72 bit entropi, jauh di bawah standar 128 bit, meski dampaknya berbeda tergantung model. Perangkat TAPSIGNER, OPENDIME, dan SATSCARD tidak terpengaruh karena menggunakan basis kode terpisah. Pembaruan firmware tidak dapat memperbaiki seed yang sudah terlanjur dibuat.
Pengguna disarankan memasang firmware yang telah diperbaiki sebelum menghasilkan seed pengganti, lalu membuat cadangan (backup), memverifikasi alamat penerimaan langsung di perangkat, dan mengirim transaksi uji dalam jumlah kecil.
Pemilik Mk3 yang tidak memiliki perangkat lain dapat sementara mengandalkan passphrase BIP-39 yang kuat dan unik, namun Coinkite tetap merekomendasikan migrasi ke seed baru yang dibuat dengan firmware terkini.
Baca juga: ETF Bitcoin Serap $233,1 Juta, Satu Fund Menyumbang Porsi Terbesar
Dampak Pencurian Bitcoin
Atlas21 melaporkan sebuah operasi otomatis menyapu 500 alamat single-signature dalam rentang blok 960188 hingga 960191 pada 30 Juli. Rangkaian transaksi tersebut menghabiskan 1.324 UTXO dan memindahkan 594,5 BTC — bernilai sekitar US$38 juta — dengan total biaya sekitar 0,044 BTC. Tidak ada alamat multisig maupun Taproot yang teridentifikasi.
Korban median kehilangan 0,41 BTC, sementara 110 alamat kehilangan lebih dari satu Bitcoin dan kerugian terbesar mencapai 29,9 BTC. Atlas21 menyebut pola transaksi menunjukkan penggunaan kunci privat lemah yang sudah bermasalah sejak dompet dibuat. Laporan publik pertama datang dari pengguna yang seed 24-katanya dihasilkan di Coldcard pada 2021 dan tidak pernah dimasukkan ke komputer mana pun.
Insiden ini menegaskan bahwa penyimpanan luring (offline) sekalipun tidak mampu melindungi dana bila seed dasarnya kurang acak. Peringatan Coinkite mencakup dompet yang dibuat selama lebih dari lima tahun terakhir, membuat pemilik berisiko hingga mereka selesai bermigrasi, sementara harga pasar Bitcoin bertahan di kisaran US$64.000 setelah penyapuan terjadi.
Selanjutnya: Trader Polymarket Beri Spider-Man Peluang 91% Untuk Debut Bersejarah