Gelombang keempat serangan yang diduga terkait cacat firmware dompet keras Coldcard kembali mengguncang ekosistem Bitcoin. Hampir 389 Bitcoin (BTC) berpindah dari ratusan alamat yang ditengarai milik korban, menurut laporan Galaxy Research pada Senin.
Poin Penting:
- Peneliti mengidentifikasi 218 transaksi yang memindahkan sekitar 388,93 BTC dari 462 alamat yang diduga milik korban.
- Tiga gelombang serangan yang sebelumnya sudah terkonfirmasi telah menguras 1.367,05 BTC dari 4.585 alamat, setara sekitar US$88,6 juta.
- Coldcard menghentikan pengiriman, memusnahkan stok rentan, dan meminta pengguna membuat seed baru sebelum memindahkan dana.
Sapu Bersih Bitcoin di Dompet Coldcard
Kepala riset Galaxy Research, Alex Thorn, mengidentifikasi 218 transaksi antara blok 960.778 dan 960.792 yang memindahkan 388,93 BTC dari 462 alamat yang dicurigai sebagai milik korban. Aktivitas tersebut berlangsung sekitar 2,5 jam.
Rata-rata terdapat 13,8 transaksi “sweep” per blok—sekitar 45 kali lebih tinggi dari tingkat pra-insiden yang hanya 0,3 per blok. Sebagian dana bahkan sudah bergerak ke dompet “second hop”, menandakan upaya pelaku untuk mengaburkan jejak.
“Ini sangat mungkin korban Coldcard,” ujar Thorn, seraya menambahkan bahwa pola transaksi memberinya “keyakinan tinggi” bahwa sebuah gelombang serangan terkoordinasi kembali berlangsung. Saat peringatan dilayangkan Senin pagi, gelombang keempat ini belum dinyatakan terkonfirmasi secara resmi.
Thorn menambahkan, sejumlah transaksi serupa masih mengantre di mempool Bitcoin dengan fitur replace-by-fee (RBF) aktif. Fitur ini memungkinkan transaksi yang belum terkonfirmasi diganti dengan transaksi baru yang memasang biaya lebih tinggi, sehingga secara teori korban bisa “mengalahkan” pelaku dengan membayar fee lebih besar sebelum transaksi penyerang ditambang.
Pada hari Minggu, Coldcard menyatakan telah menghentikan seluruh pengiriman dan memusnahkan stok perangkat yang masih memuat firmware bermasalah. Pembaruan (patch) hanya mampu melindungi seed yang dihasilkan setelah perangkat diperbarui, sehingga pengguna yang terekspos diminta membuat seed baru dan segera memindahkan dana mereka.
Perusahaan juga meminta korban untuk tidak membuang perangkat terdampak, karena tim hukum sedang berkoordinasi dengan aparat penegak hukum.
Baca Juga: Astra Versus Claude Opus 5: Satu Pecah Masalah, Satu Jaga Konteks
Risiko pada Dompet Bitcoin
Firma analitik on-chain Onchain Lens memperkirakan nilai kerugian dari tiga gelombang serangan pertama mencapai sekitar US$88,6 juta. Seorang pemilik dompet asal Kanada dilaporkan kehilangan sekitar US$1,6 juta hanya dalam hitungan menit.
Pendiri Binance, Changpeng Zhao atau CZ, mengimbau bahwa dompet keras sekaliber pemain lama sekalipun tak lepas dari potensi bug. Ia menyarankan agar kepemilikan kripto tersebar di beberapa perangkat berbeda, meski mengakui fragmentasi aset juga memunculkan jenis risiko lain.
Coldcard menyebut para produsen dompet keras lain, peneliti, dan spesialis self-custody telah menawarkan bantuan serta sumber daya ketika perusahaan berupaya merespons insiden ini.
Tim Coldcard menegaskan, mereka “berkomitmen untuk bekerja sama dengan industri yang lebih luas ke depannya”—sebuah janji yang berpotensi memengaruhi standar pengujian maupun tata kelola pengungkapan kerentanan dompet keras.
Sapu besar pertama pada 30 Juli lalu menguras 1.082,65 BTC dari 1.196 alamat hanya dalam 41 menit. Dua gelombang lanjutan kemudian mengerek total kerugian terkonfirmasi menjadi 1.367,05 BTC dari 4.585 alamat.
Coldcard menekankan bahwa produk lain seperti Satscard, Opendime, dan Tapsigner menggunakan basis kode berbeda dan tidak terdampak masalah firmware ini.
Selanjutnya: Mengapa Ethereum Hanya Menyimpan 4,9% dari Total Pendapatan Aplikasi di Jaringannya
