Coldcard Minta Pengguna Segera Pindahkan Dana di Tengah Eksploitasi Berlangsung yang Sudah Menguras Hingga US$114 Juta

Pengembang dompet perangkat keras Coldcard meminta para pengguna segera memindahkan bitcoin mereka. Pada Selasa, perusahaan mengonfirmasi bahwa eksploitasi yang telah menguras hingga US$114 juta dari dompet self-custody masih terus berlangsung. "Tolong anggap ini mendesak. Migrasikan dana Anda," tulis perusahaan, seraya menegaskan ancaman masih aktif. Coldcard juga meminta pengguna membantu menyebarkan peringatan, terutama kepada pemilik perangkat yang "jarang online" dan mungkin belum melihat pengumuman. Kelompok ini dinilai paling rentan karena perbaikan harus dilakukan secara manual. Peringatan ini bukan sekadar langkah antisipatif. CoinDesk melaporkan pada Senin bahwa kemungkinan gelombang keempat "sweep" terjadi sepanjang hari, menyedot sekitar 449 BTC dari 709 alamat berdasarkan penghitungan terbaru Galaxy Research, dan menaikkan total kerugian kumulatif dari sekitar US$89 juta menjadi hingga US$114 juta. Sumber masalah ditelusuri ke firmware yang sudah ada sejak 2021 dan baru kini dieksploitasi, sebagaimana ditulis CoinDesk pada Jumat. Kondisi dompet yang hanya bergantung pada satu kunci untuk mengontrol dana—tanpa persetujuan kedua—tetap berisiko sampai pemiliknya mengambil tindakan. Risiko ini terbatas pada perangkat dan versi firmware tertentu. Pemilik Coldcard Mk3 (model 2019) diminta memindahkan dana sekarang juga bila dompet dibuat menggunakan firmware 4.0.1 atau lebih baru. Coinkite menyebut pengecualian bagi pengguna yang memakai opsi dadu, yaitu pengguna melempar dadu secara fisik setidaknya 50 kali dan memasukkan hasilnya, sehingga dompet membangun kunci dari angka tersebut alih-alih membuatnya sendiri. Dompet yang dibuat dengan metode ini tidak pernah menyentuh kode bermasalah dan dinyatakan aman. Untuk pemilik Mk4, Mk5, dan Q yang masih memakai firmware di bawah 5.6.0 atau 1.5.0Q, Coldcard meminta agar perangkat diperbarui, membuat dompet baru, lalu memindahkan koin ke dompet tersebut. Seed adalah kunci utama yang mengendalikan koin di dompet. Jika seed dibuat dengan tingkat keacakan yang terlalu rendah, penyerang bisa menebak dan meregenerasinya, lalu menguras dompet tanpa perlu menyentuh perangkat. "Setiap dompet pada akhirnya bergantung pada rahasia akar yang dihasilkan dari entropi berkualitas tinggi," kata Bouzon kepada CoinDesk melalui email. Ia menambahkan, pembuatan entropi tersebut "harus berjangkar pada perangkat keras yang aman, dengan arsitektur yang tidak bisa diam-diam diturunkan ke sumber berbasis perangkat lunak yang tidak tepercaya." Ia menilai alternatifnya lebih buruk: dompet perangkat lunak di perangkat keras yang tidak aman lebih berisiko, sementara menitipkan dana ke bursa terpusat "bukan kepemilikan, melainkan IOU." Bitcoin diperdagangkan di sekitar US$63.800 pada awal perdagangan AS Selasa dan relatif tidak banyak berubah setelah peringatan tersebut, menurut data CoinDesk.