Cacat firmware di dompet Coldcard membuka celah bagi peretas untuk menguras Bitcoin senilai sekitar US$70 juta dari pengguna Bitcoin (BTC). Insiden ini memicu peringatan dari Changpeng Zhao (CZ) bahwa penyimpanan dingin sekalipun bukanlah solusi bebas risiko.
Poin Utama:
- Peneliti melacak perpindahan 1.082,65 BTC dari 1.196 dompet hanya dalam kurun 41 menit pada 30 Juli.
- CZ menyarankan pemilik kripto menyebar dana ke beberapa dompet.
- Produsen merilis firmware perbaikan, namun pengguna wajib mengganti seed yang dibuat oleh versi terdampak.
Dana Bitcoin di Coldcard Terkuras
Tim riset Galaxy Research dan Block melacak pencurian dari 1.196 dompet dalam satu rangkaian transaksi antara pukul 01.10 hingga 01.51 UTC pada 30 Juli. Total dana yang raib mencapai 1.082,65 BTC, hampir dua kali lipat dari estimasi awal.
Galaxy mencatat aktivitas itu tersebar dalam enam blok Bitcoin, dengan tiga blok di antaranya tanpa perpindahan terkait, mengindikasikan pelaku menyiarkan transaksi secara bertahap. Penting dicatat, pelaku tidak pernah menyentuh perangkat fisik korban. Per 1 Agustus, dana curian masih tertahan di empat alamat.
Sumber masalah bermula dari perubahan perangkat lunak pada Maret 2021, ketika proses pembangkitan seed dialihkan dari generator angka acak berbasis perangkat keras ke mekanisme cadangan yang lebih dapat diprediksi. Coinkite memperkirakan keamanan efektif hanya sekitar 40 bit pada perangkat seri Mk3 dan sekitar 72 bit pada model-model lebih baru yang terdampak.
Baca juga: SpaceX Bersiap Hadapi Guncangan Pasokan Saat 911,5 Juta Saham Lepas Lock-Up
Peringatan CZ soal Manajemen Dompet
Changpeng Zhao, pendiri dan mantan CEO Binance, menegaskan bahwa rekam jejak panjang sebuah produk tidak menghapus risiko perangkat lunak. “Bahkan hardware wallet bisa mengandung bug,” tulisnya. Ia menyarankan pengguna menyebar dana ke beberapa dompet, seraya mengakui bahwa strategi ini membawa jenis risiko lain.
Diversifikasi dompet tidak otomatis tanpa bahaya. Semakin banyak dompet berarti semakin banyak pula kebutuhan backup dan prosedur pemulihan. Penyebaran aset bisa menurunkan risiko konsentrasi, namun di sisi lain meningkatkan peluang terjadinya kesalahan operasional manusia.
Coinkite telah merilis firmware perbaikan untuk perangkat Mk3, Mk4, Mk5, dan Q. Namun, pembaruan firmware tidak mampu “memperbaiki” seed yang sejak awal sudah lemah. Perusahaan menyatakan bahwa setidaknya 50 lemparan dadu manual oleh pengguna sudah cukup untuk melindungi seed dari cacat spesifik ini. Pengguna lain yang terdampak disarankan untuk membuat seed baru, mengujinya dengan transaksi kecil, lalu memindahkan seluruh dana yang tersisa.
Block juga memasukkan seri lama Mk2 sebagai berpotensi terekspos, meski pengumuman resmi Coinkite tidak menyebut model tersebut. Pemilik tidak memiliki cara langsung untuk menguji kekuatan seed mereka, dan peneliti memperingatkan bahwa gelombang penjarahan lanjutan masih mungkin terjadi selama ada dana yang tersimpan di dompet rentan.
Cacat ini memasuki proses pembangkitan seed Coldcard pada Maret 2021 dan bertahan di berbagai rilis terdampak hingga patch darurat digulirkan pada akhir Juli 2026. Jangka waktu lima tahun ini menjelaskan mengapa insiden tersebut sangat mengancam dompet lama, terutama milik pemegang jangka panjang yang selama ini menganggap ketidakaktifan sebagai bukti keamanan.
Baca Selanjutnya: OpenAI Paparkan Model Baru Astra ke Senator Menjelang Aturan Review 30 Hari