Celah Coldcard Picu Pencurian Bitcoin Besar Meski Pakai Dua Secure Element

Dua chip secure element pada dompet perangkat keras Coldcard tidak berhasil ditembus. Ulasan teknis BIT yang dipublikasikan 7 Agustus 2026 menyimpulkan, rangkaian pencurian yang mulai terdeteksi pada 30 Juli 2026 terjadi lewat celah satu lapis di bawah chip: pada perangkat lunak yang membentuk seed sebelum seed itu diserahkan ke secure element untuk disimpan. Implikasinya jelas: secure element bisa sangat kuat melawan ekstraksi fisik, tetapi tetap menyimpan kunci yang sejak awal sudah lemah. Coldcard diproduksi Coinkite (Kanada) dan memakai dua secure element, Microchip ATECC608 serta Maxim DS28C36B, yang dirancang tahan manipulasi dan upaya ekstraksi level lab, menurut BIT. Titik lemahnya ada pada asal-usul seed yang kemudian disimpan chip tersebut. Laporan Block yang dikutip The Hacker News pada 1 Agustus 2026 menyebut konfigurasi produksi Coldcard mengatur macro MICROPY_HW_ENABLE_RNG menjadi 0 karena Coinkite menggunakan pembungkus hardware RNG miliknya. Masalah muncul ketika library pendukung libngu hanya memeriksa apakah macro itu "ada", bukan apakah nilainya "aktif", sehingga firmware terikat ke generator bilangan acak cadangan MicroPython, Yasmarang. CoinDesk (31 Juli 2026) menggambarkan cacat yang sama: pengaturan build membuat perangkat melewati generator acak perangkat keras, lalu pengecekan di library hanya mengecek keberadaan setting, bukan statusnya. Block menelusuri perubahan ini ke sebuah commit bertanggal 1 Maret 2021, menurut CoinDesk. Sejumlah media sedikit berbeda dalam menjelaskan sumber input untuk generator cadangan tersebut. The Hacker News (mengutip Block) menulis Yasmarang diinisialisasi dari unique ID perangkat dan register timer, lalu tidak mengumpulkan entropi baru. CoinDesk menyebut input yang sama sebagai nomor seri chip dan register clock, yang dinilai bukan rahasia. Versi BIT (7 Agustus 2026) menyebut ada dua instance Yasmarang yang di-XOR, dengan salah satunya diberi seed dari konstanta publik yang di-hardcode. Perbedaan ini tidak mengubah kesimpulan: seed yang dihasilkan menjadi jauh lebih mudah ditebak. BIT juga menekankan konteksnya: ini rekonstruksi dari beberapa tim teknis independen, bukan penjelasan publik Coinkite baris demi baris. Dari sisi dampak kriptografis, estimasi Coinkite sendiri (dikutip The Hacker News, BIT, dan crypto.news) menyatakan seed yang dibuat di bawah bug ini memiliki entropi efektif sekitar 40 bit pada Mk2 dan Mk3, serta sekitar 72 bit pada Mk4, Mk5, dan Q, jauh di bawah target desain 128-bit untuk seed BIP39 standar. Block, menurut The Hacker News, menolak memberi satu angka praktis brute force, hanya menyajikan batas bersyarat dan mengingatkan bahwa angka tertinggi yang dihitung tidak setara dengan keamanan kriptografis 73-bit yang sesungguhnya. Hingga kini, tidak ada laporan publik yang memuat benchmark brute force, dan tidak ada yang merekonstruksi seed korban tertentu lalu mencocokkannya dengan alamat yang dikuras, menurut The Hacker News. BIT menegaskan batas kemampuan secure element: chip "tidak memverifikasi bahwa seed dibuat dengan randomness yang memadai". Secure element melindungi seed setelah dibuat, tetapi tidak punya cara untuk menilai apakah seed itu berkualitas saat pertama kali masuk. Batas ini juga penting saat membandingkan dompet: desain dua chip Coldcard membuat penyerang yang mencoba ekstraksi fisik harus mengalahkan dua chip dari pemasok berbeda plus prosesor utama, lebih sulit dibanding desain satu secure element, menurut BIT. BIT juga menyebut Ledger dan Trezor masing-masing memakai satu secure element. Perbandingan dari Spark Money (tanpa tanggal publikasi pada versi yang ditinjau) menyatakan chip Ledger merupakan komponen STMicroelectronics dengan sertifikasi Common Criteria EAL5+ atau EAL6+ tergantung model. Trezor Safe 3 dan Safe 5 disebut memakai Infineon OPTIGA Trust M. Spark Money menambahkan dokumentasi secure element Trezor bersifat publik sehingga dapat diaudit peneliti independen, sedangkan firmware secure element Ledger tetap tertutup di bawah perjanjian nondisclosure dengan STMicroelectronics, meski perangkat lunak lapisan aplikasi Ledger sebagian besar terbuka. Coldcard, sebaliknya, mempublikasikan penuh sumber firmware, menurut Spark Money dan BIT. Meski begitu, keterbukaan tersebut tidak mencegah kesalahan Maret 2021 bertahan lebih dari lima tahun tanpa terdeteksi. Firmware yang bisa diaudit tidak berarti benar-benar diaudit cukup ketat untuk menangkap bug semacam ini: guard yang memeriksa apakah sebuah setting didefinisikan, bukan nilai yang disetel. Angka kerugian juga bervariasi antar sumber karena perbedaan cakupan dan tanggal cutoff, bukan semata-mata perbedaan fakta. CoinDesk (dipublikasikan dan diperbarui 31 Juli 2026) melaporkan sekitar 594 BTC (sekitar US$38 juta) disapu dari sekitar 500 dompet single-signature, dalam rentang 01:31 hingga 01:56 UTC. crypto.news (1 Agustus 2026) juga menyebut 594 BTC (sekitar US$38 juta), tetapi menempatkan penyapuan pada 02:14 hingga 02:39 UTC; perbedaan timestamp ini tidak dapat diselesaikan dari bukti yang tersedia. The Hacker News (1 Agustus 2026) mengutip pemetaan Galaxy Research atas 1.196 alamat yang dikuras dalam 41 menit pada 30 Juli, total 1.082,65 BTC (sekitar US$70,2 juta). Artikel yang sama kemudian diperbarui: Galaxy Research mengidentifikasi dua gelombang tambahan, sehingga total teramati naik menjadi 1.367,05 BTC (sekitar US$88,6 juta) pada 4.585 alamat. BIT (7 Agustus 2026) memberi angka kumulatif hingga 3 Agustus 2026 sekitar 1.816 BTC (lebih dari US$116 juta) pada lebih dari 5.200 alamat, dan menyebutnya sebagai eksploit dompet perangkat keras terbesar yang pernah tercatat. Perbedaan ini terutama soal cakupan. CoinDesk dan crypto.news berfokus pada sapuan awal. The Hacker News dan BIT mengacu pada total kumulatif seiring Galaxy Research terus memetakan alamat pada hari-hari berikutnya. Galaxy Research, menurut The Hacker News, juga menekankan temuannya berbasis analisis pola on-chain dan belum mengonfirmasi secara komputasional bahwa setiap alamat yang ditandai memang dihasilkan dari entropi Coldcard yang lemah. Galaxy juga menyatakan aktivitas masih berlangsung pada saat pembaruan, serta telah melaporkan sekitar 600 alamat yang diduga dikendalikan penyerang kepada penyelidik, sehingga total bisa berubah lagi. Sejumlah hal juga belum bisa dipastikan dari sumber yang ada. Tidak ada satu angka kerugian final; 594 BTC, 1.082,65 BTC, 1.367,05 BTC, dan 1.816 BTC sebaiknya dibaca sebagai pengukuran pada waktu dan cakupan berbeda. Klaim Coinkite bahwa penyerang kemungkinan memakai AI untuk menemukan celah, serta bahwa review AI internal beberapa minggu sebelumnya tidak menemukan isu serius, dilaporkan crypto.news dan disebut "masuk akal tetapi belum terverifikasi"; tidak ada konfirmasi independen dalam bukti yang ditinjau. Tidak ada laporan publik yang merekonstruksi seed spesifik yang dicuri dan memasangkannya ke alamat yang terkuras, menurut The Hacker News. Pola yang digunakan Galaxy Research mengelompokkan gelombang berdasarkan perilaku transaksi, bukan sebab yang telah terkonfirmasi; Galaxy secara eksplisit menolak menganggap Wave 3 terkait dengan Wave 1 dan 2. Terkait versi yang terdampak, advisory Coinkite menyebut firmware Mk3 versi 4.0.1 sampai 4.1.9 rentan, dan tidak menyebut Mk2. Analisis Block (menurut The Hacker News) menempatkan Mk2 dan Mk3 versi 4.0.0 sampai 4.1.9 pada jalur yang rentan, lebih luas daripada advisory Coinkite; dari bukti yang tersedia, cakupan definitifnya belum dapat dipastikan. Artikel-artikel yang ditinjau juga tidak menyediakan bukti apakah kode pembangkitan seed Ledger atau Trezor pernah menjalani review teknis eksternal setara yang dilakukan Block pada Coldcard. crypto.news (1 Agustus 2026) melaporkan Block, Trezor, dan Ledger menyatakan produk mereka tidak terdampak celah spesifik ini, yang merupakan pernyataan tentang bug ini, bukan audit menyeluruh atas kode randomness masing-masing. Semua fakta di atas disandarkan pada laporan yang disebutkan. Saat terdapat perbedaan antar sumber, perbedaannya dinyatakan sebagaimana adanya.