Celah Pembuatan Seed Coldcard Picu Penyapuan Dompet 594 BTC pada 2026

Keamanan hardware wallet Bitcoin kembali jadi sorotan setelah temuan insiden yang telah divalidasi menyebut adanya cacat firmware Coldcard yang melemahkan proses pembuatan seed pada sebagian versi perangkat lama. Catatan insiden menyatakan dampak mencakup Coldcard Mk3 dengan firmware 4.0.1 hingga 5.0.3, perangkat Mk4 dan Mk5 sebelum firmware 5.6.0, serta perangkat Q sebelum 1.5.0Q. Masalah intinya ada pada kelemahan seed generation: generator angka acak berbasis hardware digantikan oleh pengganti berbasis software yang dapat diprediksi. Akibatnya, entropi turun dari target 128 bit menjadi 72 bit. Detail teknis ini krusial karena keamanan dompet Bitcoin bertumpu pada seed phrase. Jika proses pembangkitan seed menjadi cukup dapat ditebak sehingga ruang pencarian bisa dipersempit, dompet dapat menjadi rentan meski pengguna tidak pernah membagikan seed phrase, tidak mengklik tautan phishing, dan tidak pernah mengekspos private key. Laporan penyapuan (sweep) disebut terjadi pada 30 dan 31 Juli 2026, dengan total sekitar 594 BTC yang dipindahkan dari kira-kira 500 dompet single-signature. Rincian lebih lanjut dirujuk ke platform Blog resmi. Ringkasan: Kerentanan pembuatan seed Coldcard berdampak pada versi firmware/perangkat tertentu yang lebih lama. Laporan mengarah pada sekitar 594 BTC yang disapu dari kurang lebih 500 dompet single-signature. Seed yang dibuat menggunakan BIP39 passphrase atau diperkuat dengan setidaknya 50 lemparan dadu tidak dianggap berisiko berdasarkan catatan insiden yang divalidasi. Mengapa Entropi Menentukan Segalanya Pada level seed, prinsip keamanan Bitcoin sebenarnya sederhana: dompet dilindungi oleh keacakan. Seed phrase semestinya mustahil ditebak karena jumlah kemungkinan seed valid sangat besar, sehingga brute force secara praktis tidak masuk akal. Asumsi ini bergantung pada entropi yang memadai. Ketika sumber acak melemah, pekerjaan penyerang bergeser dari “mustahil” menjadi “mungkin dilakukan”. Itulah sebabnya isu ini dinilai lebih serius daripada bug firmware biasa, karena menyerang fondasi dompet. Jika seed dibuat saat keacakan lemah, risiko tetap ada meski setelahnya pengguna sudah berperilaku aman. Tidak Semua Pengguna Coldcard Berada pada Kondisi yang Sama Catatan validasi menekankan bahwa dampak terkait pada kombinasi versi firmware dan perangkat tertentu, serta menyebut rilis perbaikan, termasuk 5.6.0 untuk Mk4 dan Mk5, dan 1.5.0Q untuk perangkat Q. Ada pembeda penting lain: seed yang dibuat dengan BIP39 passphrase atau dengan tambahan entropi minimal 50 lemparan dadu tidak dianggap berisiko dalam catatan insiden. Artinya, metode pembuatan seed memengaruhi profil risiko. Seed yang sepenuhnya dibuat oleh perangkat pada firmware terdampak dapat berbeda risikonya dibanding seed yang diperkuat oleh entropi berbasis dadu atau passphrase. Bagi pengguna, pertanyaan praktisnya bukan “Apakah saya memakai Coldcard?”, melainkan “Perangkat dan firmware apa yang menghasilkan seed saya, dan bagaimana seed itu dibuat?” Mengapa Dompet Single-Signature Lebih Rentan Penyapuan dana dilaporkan berfokus pada sekitar 500 dompet single-signature. Dalam skema single-signature, satu seed mengendalikan dana. Jika seed itu dapat diturunkan atau ditebak, tidak ada lapisan persetujuan kedua. Skema multisig membentuk model risiko berbeda: ketika seed salah satu penanda tangan bocor, penyerang masih memerlukan kunci tambahan untuk memindahkan dana. Multisig bukan kebal terhadap semua kegagalan, tetapi dapat mengurangi kerusakan akibat satu seed yang lemah. Karena itu, praktik kustodi Bitcoin yang lebih ketat sering menggabungkan multisig, passphrase, entropi dari dadu, cadangan yang dipisahkan secara geografis, dan perangkat dari vendor berbeda. Alasannya bukan agar semua orang memakai pola setara korporasi, melainkan karena tidak ada tombol reset layanan pelanggan di Bitcoin. Setelah dana berpindah, transaksi tidak bisa dibatalkan. Hardware Wallet Tetap Menuntut Kepercayaan, Pembaruan, dan Verifikasi Hardware wallet sering dipasarkan sebagai cara paling aman menyimpan kripto, dan dalam banyak kasus memang mengurangi risiko online. Tetapi perangkat keras bukan jaminan absolut. Pengguna tetap bergantung pada firmware, rantai pasok, proses pembuatan seed, disiplin pencadangan, layar penandatanganan, praktik pembaruan, serta keamanan operasional pribadi. Pembaruan firmware juga menghadirkan trade-off. Pengguna kerap diingatkan agar tidak terburu-buru memperbarui tanpa memahami perubahan, sementara perbaikan keamanan bisa bersifat mendesak. Tidak pernah memperbarui dapat membuat pengguna tetap terpapar kerentanan yang sudah diketahui. Memperbarui secara ceroboh dapat membuka risiko baru lewat firmware palsu atau phishing. Jalur paling aman biasanya membosankan tetapi penting: gunakan sumber resmi, verifikasi firmware, baca advis keamanan dengan teliti, dan hindari tindakan panik. Inti Pelajaran untuk Pemegang Bitcoin Insiden ini mengingatkan bahwa self-custody memberi kendali penuh tanpa bergantung pada bursa atau kustodian, sekaligus memindahkan beban keamanan ke pengguna dan alat yang dipilih. Bagi pengguna Coldcard, langkah cepatnya adalah memastikan apakah seed dibuat pada firmware yang terdampak dan apakah ada perlindungan tambahan berupa entropi ekstra atau passphrase. Pengguna yang merasa terekspos signifikan disarankan mengikuti panduan resmi dan tidak pernah memasukkan seed phrase ke situs web atau alat tidak dikenal yang mengklaim bisa memeriksa status kerentanan. Untuk pasar Bitcoin secara luas, pelajarannya lebih besar: kustodi terkuat bukan sekadar memiliki perangkat hardware, melainkan memahami bagaimana seed dibuat, bagaimana cadangan disimpan, bagaimana proses penandatanganan dilindungi, dan apa yang terjadi jika satu komponen gagal. Bitcoin memberi kontrol final kepada pengguna, dan kontrol itu bernilai tinggi sekaligus tidak memaafkan. Artikel ini disusun berdasarkan materi keamanan Coldcard dan pelaporan publik terkait penyapuan dompet pada Juli 2026. Artikel ini ditulis oleh News Desk dan disunting oleh Samuel Rae. Laporan ini berdasarkan informasi yang dirilis oleh Blog. di Blog