Gelombang keempat serangan yang diduga terkait celah keamanan Coldcard kembali menyapu hampir 389 Bitcoin (BTC) dari 462 alamat yang dikaitkan dengan kelemahan firmware Coldcard, menurut laporan Galaxy Research pada Senin.
Pokok-Pokok Utama:
- Peneliti mengidentifikasi 218 transaksi yang memindahkan sekitar 388,93 BTC dari 462 alamat yang dicurigai milik korban.
- Tiga gelombang serangan yang sudah terkonfirmasi sebelumnya telah menguras 1.367,05 BTC dari 4.585 alamat, dengan nilai sekitar US$88,6 juta.
- Coldcard menghentikan pengiriman, memusnahkan stok rentan, dan mengimbau pengguna membuat seed baru sebelum memindahkan dana.
Sapu Bersih Bitcoin di Dompet Coldcard
Kepala riset Galaxy Research, Alex Thorn, mengidentifikasi 218 transaksi antara blok 960.778 dan 960.792 yang memindahkan 388,93 BTC dari 462 alamat yang diduga korban. Aktivitas itu terjadi hanya dalam sekitar 2,5 jam.
Rata-rata terdapat 13,8 transaksi “sapu bersih” per blok, sekitar 45 kali di atas tingkat normal sebelum insiden yang hanya sekitar 0,3 per blok. Sebagian dana bahkan sudah mengalir ke dompet tujuan lapis kedua (second-hop wallets).
“Ini sangat mungkin korban Coldcard,” ujar Thorn. Ia menambahkan, pola transaksi tersebut memberinya “keyakinan tinggi” bahwa satu lagi gelombang serangan terkoordinasi sedang berlangsung. Saat peringatan itu ia keluarkan pada Senin pagi, gelombang keempat ini belum dikonfirmasi secara resmi.
Thorn juga mencatat masih ada transaksi serupa yang tertahan di mempool jaringan Bitcoin dengan fitur replace-by-fee (RBF) diaktifkan. Fitur ini memungkinkan transaksi yang belum terkonfirmasi digantikan oleh transaksi baru dengan biaya lebih tinggi. Dalam skenario ini, korban secara teoritis bisa “menyelamatkan” dana dengan membayar biaya lebih besar untuk mengalahkan transaksi penyerang sebelum ditambang.
Pada Minggu, Coldcard menyatakan telah menghentikan semua pengiriman dan memusnahkan stok perangkat yang memuat firmware cacat tersebut. Pembaruan (patch) firmware hanya melindungi seed yang dibuat setelah perangkat diperbarui, sehingga pengguna yang berisiko wajib membuat seed baru dan segera memindahkan seluruh dana mereka.
Perusahaan juga meminta korban menyimpan perangkat yang terdampak karena tim hukum Coldcard sedang berkoordinasi dengan aparat penegak hukum.
Baca Juga: Astra Versus Claude Opus 5: Satu Membagi Masalah, Satu Menjaga Konteks
Risiko di Dompet Bitcoin
Platform analitik Onchain Lens menghitung kerugian terkonfirmasi dari tiga gelombang serangan pertama mencapai US$88,6 juta. Seorang pemilik aset asal Kanada dilaporkan kehilangan sekitar US$1,6 juta hanya dalam hitungan menit.
Pendiri Binance, Changpeng Zhao yang dikenal sebagai CZ, mengingatkan bahwa dompet keras mapan sekalipun tidak kebal dari bug. Ia menyarankan pengguna menyebar kepemilikan aset ke beberapa perangkat berbeda, sembari mengakui bahwa strategi ini pun membawa jenis risiko lain.
Coldcard menyebut para produsen dompet keras lain, peneliti keamanan, dan pakar self-custody turun tangan memberikan dukungan dan sumber daya ketika perusahaan merespons insiden ini.
Tim Coldcard menegaskan, mereka “berkomitmen untuk bekerja sama dengan pelaku industri secara lebih luas ke depan,” sebuah janji yang berpotensi membentuk standar baru dalam pengujian dan pengungkapan (disclosure) kelemahan dompet kripto.
Gelombang besar pertama pada 30 Juli menguras 1.082,65 BTC dari 1.196 alamat hanya dalam 41 menit. Dua gelombang berikutnya mendorong total kerugian terkonfirmasi menjadi 1.367,05 BTC dari 4.585 alamat. Coldcard menegaskan bahwa Satscard, Opendime, dan Tapsigner menggunakan basis kode berbeda dan tidak terdampak insiden ini.
Artikel Selanjutnya: Mengapa Ethereum Hanya Menyimpan 4,9% dari Biaya yang Dihasilkan Aplikasinya