Eksekutif Ledger Ian Rogers menilai pencurian Coldcard senilai $116 juta menunjukkan bagaimana AI dapat memperbesar dampak kegagalan randomisasi, bukan menjadi bukti bahwa dompet keras maupun self-custody pada dasarnya tidak aman.
Poin Penting:
- Cacat pada mekanisme pembangkitan seed Coldcard menurunkan entropi efektif menjadi sekitar 40 bit di perangkat lama dan kira-kira 72 bit di model lebih baru yang terdampak.
- TRM Labs menyebut gelombang pencurian yang dimulai 30 Juli menguras sekitar 1.816 Bitcoin (BTC), dengan nilai mendekati $116 juta.
- Rogers berargumen AI menurunkan biaya menemukan kelemahan, sementara agen otonom menciptakan risiko baru ketika mendapatkan akses ke kredensial dan berbagai rahasia lain.
Cacat di Dompet Bitcoin
Media melaporkan pada 12 Agustus bahwa Rogers, chief human agency officer Ledger, menolak anggapan insiden ini mengungkap kelemahan mendasar dompet keras. Ia justru menyoroti buruknya kualitas randomisasi dan pemanfaatan alat berbasis AI yang memungkinkan penyerang memetakan sistem rentan dengan jauh lebih efisien.
Pembuat Coldcard, Coinkite, menyatakan masalah firmware yang diperkenalkan pada 2021 membuat proses pembangkitan seed memakai pseudorandom number generator berbasis perangkat lunak alih-alih jalur hardware yang direncanakan. Estimasi awal mereka menempatkan entropi efektif di kisaran 40 bit pada perangkat Mk2 dan Mk3 yang terdampak, dan sekitar 72 bit pada model lebih baru yang juga terpengaruh.
TRM Labs melaporkan empat gelombang pencurian menguras sekitar 1.816 BTC dari lebih dari 5.200 alamat, dengan nilai kerugian mendekati $116 juta. Ledger menegaskan perangkatnya menghasilkan entropi melalui hardware true random number generator di dalam Secure Element tersertifikasi, tanpa ketergantungan pada fallback perangkat lunak.
Baca Juga: XRP Jeblok di Bawah $1 Sementara Paus Diam-Diam Menyapu 380 Juta Token
Peringatan Ian Rogers
Menurut Rogers, AI mengubah lanskap ancaman lewat tiga cara utama: memberi penyerang alat yang lebih kuat untuk menemukan kerentanan, mempercepat pengembangan perangkat lunak, dan memperbanyak jumlah agen AI yang punya akses ke sistem sensitif.
Risiko ketiga ini melampaui dompet kripto, sebab agen di lingkungan korporasi bisa menangani email, kredensial, data pembayaran, hingga komunikasi internal.
Ia membandingkan kontrol akses untuk agen AI dengan orang tua yang memutuskan kapan anak remaja boleh memegang kunci mobil, dan berargumen bahwa konteks harus menentukan kapan agen boleh menggunakan izin yang sensitif. Ledger tengah membangun alat yang memisahkan kemampuan agen mengoperasikan dompet dari kendali langsung atas private key.
“Di mana pun aset Anda disimpan, Anda seharusnya peduli pada tingkat keamanan yang melindungi aset tersebut,” ujar Rogers kepada Bloomberg.
Ledger sebelumnya juga menyoroti isu serupa terkait randomisasi. Tim keamanan Donjon milik perusahaan itu melaporkan cacat pada ekstensi peramban Trust Wallet pada November 2022 setelah menemukan entropi seed merosot hingga hanya 32 bit.
Baca Berikutnya: Kepala Apple Pay Jennifer Bailey Pensiun Setelah 25 Tahun di Perusahaan
