Celah Coldcard Picu Perpindahan 233.000 BTC Senilai US$15 Miliar; Kerugian Pencurian Hampir US$130 Juta

CoinDesk melaporkan, kerentanan yang beredar pada dompet perangkat keras Coldcard memicu pergerakan dana besar di jaringan blockchain. Sejumlah sumber data institusional menyebut sekitar 233.000 bitcoin berpindah dari alamat milik pemegang jangka panjang sebelum dan sesudah insiden, dengan nilai taksiran sekitar US$15 miliar berdasarkan harga yang disebut dalam laporan. Angka ini jauh melampaui kerugian langsung akibat serangan, yang mendekati US$130 juta. Insiden bermula pada 30 Juli. Penyerang memanfaatkan cacat pembuatan kunci (key generation) pada firmware Coldcard dan menguras dana dari alamat yang terdampak secara bertahap. Laporan menyebut sekitar 2.100 BTC telah dicuri, dengan kerugian hampir US$130 juta. Galaxy Research mencatat tiga serangan yang telah terkonfirmasi, menyatakan lebih dari 5.200 alamat terdampak dengan total kehilangan sekitar 1.596 BTC. Sementara itu, data onchain lain yang dikutip Checkonchain memperkirakan jumlah yang dicuri lebih tinggi, sekitar 2.100 BTC. Data Checkonchain menunjukkan sekitar 233.000 BTC keluar dari dompet pemegang jangka panjang pada periode yang berdekatan dengan insiden. Pemegang jangka panjang umumnya merujuk pada alamat yang tidak melakukan transfer setidaknya selama 155 hari dan kerap dipandang sebagai kelompok pemilik yang lebih stabil. Dataset yang sama juga mencatat sekitar 22.000 BTC mengalir ke bursa. Statistik Glassnode menguatkan pergeseran tersebut: pasokan yang dipegang pemegang jangka panjang turun dari hampir 15 juta BTC menjadi sekitar 14,7 juta BTC, menjadi penurunan mingguan terbesar sejak Desember 2024. CEO Casa Nick Neuman mengatakan tidak semua transfer tersebut berasal dari pengguna Coldcard. Berdasarkan komunikasi dengan pelanggan Casa, sebagian dana berasal dari pengguna Coldcard yang bermigrasi ke dompet multisig, sementara sebagian lain datang dari pengguna Ledger dan Trezor yang ikut menyesuaikan metode kustodi setelah melihat serangan. Dompet multisignature memerlukan beberapa kunci independen untuk mengotorisasi transaksi, sehingga kompromi pada satu perangkat tidak otomatis membuat seluruh dana hilang. Meski begitu, data onchain menunjukkan sebagian bitcoin tetap dipindahkan ke bursa. Ini mengindikasikan sebagian pengguna memilih menempatkan asetnya sementara di platform yang lebih likuid sebelum menentukan skema penyimpanan jangka panjang. Sebagai tambahan, Coinkite mengimbau pengguna bahwa jika frasa mnemonik dibuat pada firmware versi 4.0.1 hingga 4.1.9 dalam periode Maret 2021 sampai Juli 2026, dompet terkait sebaiknya dianggap telah terkompromi dan pengguna diminta segera bermigrasi ke seed wallet baru.