Alamat Aktif Bitcoin Tembus 980 Ribu Usai Eksploit Coldcard, Dana Berpotensi Terkuras hingga US$100 Juta

Pada 31 Juli 2026, jumlah alamat aktif Bitcoin melonjak ke sekitar 980.000—level tertinggi sejak Desember 2024. Kenaikan ini bukan pertanda euforia pasar, melainkan reaksi panik. Sehari sebelumnya, Coinkite, produsen dompet perangkat keras Coldcard, merilis peringatan keamanan darurat terkait kerentanan kritis pada perangkat Mk3. Ribuan pemegang Bitcoin berbondong-bondong memindahkan dana dari dompet yang berisiko, memicu lonjakan aktivitas jaringan yang tidak terkait sentimen harga. Akar masalahnya ditelusuri ke pembaruan firmware versi 4.0.1 yang dirilis pada Maret 2021. Pembaruan tersebut mengandung cacat pada random number generator (RNG), komponen yang menghasilkan entropi untuk memastikan seed phrase aman secara kriptografis. Coinkite menerbitkan advisori pada 30 Juli dan meminta pengguna yang membuat seed pada firmware terdampak menganggap seed tersebut sudah kompromi serta segera memigrasikan dana. Pada 31 Juli, transaksi perpindahan dana untuk berjaga-jaga membanjiri jaringan. Alamat aktif naik dari sekitar 645.000 pada 30 Juli menjadi kurang lebih 980.000 keesokan harinya. Lonjakan satu hari lebih dari 330.000 alamat mencerminkan besarnya jumlah pengguna yang bertindak serentak. Penyerang juga tidak menunggu pengguna lebih dulu. Pengurasan terkoordinasi terhadap dompet rentan mulai terjadi pada 30 Juli, menyasar sekitar 4.585 hingga 7.300 alamat dalam beberapa gelombang. Alamat yang ditargetkan memiliki dormansi rata-rata sekitar tiga tahun, mengindikasikan penyerang secara sistematis mengidentifikasi dompet yang lama tidak aktif sejak era firmware bermasalah. Kerugian yang terkonfirmasi dari rangkaian serangan tersebut berada di kisaran 1.367 hingga 1.596 BTC, setara sekitar US$89 juta hingga lebih dari US$100 juta pada harga saat ini. Sejumlah analis menilai, bila gelombang serangan lanjutan berlanjut, total kerugian dapat melampaui 2.000 BTC atau sekitar US$130 juta. Coinkite merespons dengan merilis firmware versi 5.0.3 pada awal Agustus 2026 untuk menutup celah RNG. Meski begitu, dampak bagi pengguna yang sudah terdampak tidak bisa dipulihkan. Firmware dapat ditambal, dompet yang sudah terkuras tidak bisa "diisi kembali". Insiden ini muncul ketika infrastruktur investasi Bitcoin sedang berkembang. Spot Bitcoin ETF terus mengakumulasi aset dan menawarkan kustodian berstandar institusional kepada segmen investor ritel yang sebelumnya mengelola kunci sendiri. Pengamat menilai kejadian seperti ini berpotensi mempercepat arus dana ke produk investasi teregulasi, di mana kustodian ditangani oleh operator profesional dengan asuransi, audit, dan sistem redundansi. Bagi pemegang Bitcoin yang masih memakai Coldcard Mk3, langkahnya jelas: periksa versi firmware yang aktif saat seed dibuat. Jika berada dalam rentang terdampak, anggap seed tersebut kompromi meski dompet belum terlihat disentuh. Buat seed baru pada firmware yang sudah ditambal, pindahkan dana ke dompet baru, dan tinggalkan set alamat lama.