Kerugian Peretasan Coldcard Tembus Lebih dari US$111 Juta akibat Celah Firmware

Janji dompet perangkat keras selama ini sederhana: kunci disimpan offline, Bitcoin tetap aman. Insiden terbaru pada Coldcard menunjukkan janji itu bisa runtuh dari lapisan paling dasar—firmware. Kerentanan firmware pada dompet hardware Coldcard buatan Coinkite diduga memungkinkan penyerang menguras sekitar 1.596 hingga 1.719 BTC dari ribuan alamat. Nilai kerugian diperkirakan berada di kisaran US$100 juta sampai US$111 juta. Dugaan gelombang serangan keempat yang terdeteksi sekitar 3 Agustus menambah sekitar 389 BTC ke akumulasi tersebut. Alex Thorn dari tim analisis onchain Galaxy Digital menyatakan temuan ini telah dikonfirmasi lewat forensik onchain. Kasus ini terasa sangat brutal karena para korban disebut sudah mengikuti praktik keamanan yang disarankan: tanpa phishing, tanpa kebocoran kunci, tanpa kesalahan pengguna. Masalahnya ada pada firmware. Akar masalahnya berawal dari satu rilis. Coldcard versi 4.0.1 yang diluncurkan pada 17 Maret 2021 memperkenalkan bug pada generator angka acak perangkat, membuat seed wallet terbentuk dengan entropi jauh lebih rendah dari yang semestinya. Sebagian seed yang terdampak hanya memiliki sekitar 40 bit entropi. Dalam istilah sederhana, wallet Bitcoin yang dikonfigurasi dengan baik seharusnya mustahil ditebak secara komputasi. Seed-seed ini tidak demikian. Penyerang memanfaatkan perangkat bruteforce sumber terbuka untuk merekonstruksi seed yang terdampak, lalu menguras wallet yang dikendalikan seed tersebut. Cacat ini tidak terdeteksi selama lebih dari lima tahun. Coinkite mengungkapkan kerentanan ini pada 30 Juli 2026, dan firmware yang sudah ditambal tersedia keesokan harinya. Pembaruan perangkat tidak mengembalikan dana yang sudah hilang, dan tidak memperbaiki seed yang terlanjur dibuat pada firmware rentan. Pengguna terdampak perlu membuat seed baru sepenuhnya pada firmware yang sudah diperbarui, lalu memindahkan seluruh dana ke alamat baru. Analisis Galaxy menemukan setidaknya 15 penyerang berbeda yang beroperasi dalam minimal tiga gelombang pencurian yang sudah terkonfirmasi, dengan total sekitar 7.300 alamat menjadi target. Hingga 7 Agustus, jumlah Bitcoin yang dipastikan dicuri mencapai 1.719 BTC. Sejumlah laporan menyebut total potensi kerugian bisa melampaui US$130 juta jika aktivitas tambahan yang masih dicurigai ikut dihitung. Data onchain menunjukkan mayoritas dana curian masih belum dibelanjakan di jaringan. Bitcoin sudah dipindahkan, tetapi belum terlihat pola konversi atau penyebaran seperti praktik pencucian dana pada umumnya, setidaknya untuk saat ini. Pola gelombang pencurian juga menonjol. Tiga gelombang terkonfirmasi muncul lebih dulu, disusul dugaan gelombang keempat. Ini mengarah pada eksploitasi yang terkoordinasi, bukan sekadar satu pelaku oportunistis yang kebetulan menemukan bug. Temuan 15 penyerang berbeda mengindikasikan kerentanan ini kemungkinan sudah diketahui, dibagikan, atau diperjualbelikan dalam suatu kelompok sebelum diumumkan ke publik. Bagi isu self-custody dan keamanan perangkat keras, dampaknya signifikan. Coldcard dikenal sebagai salah satu hardware wallet yang paling berorientasi pada keamanan, dengan basis pengguna yang cenderung teknis dan memilih mengelola aset sendiri dibanding menyimpannya di bursa. Ironinya, kelompok pengguna yang paling berkomitmen memegang kunci sendiri justru terekspos oleh cacat pada alat yang mereka percayai. Untuk pengguna yang masih menyimpan dana di perangkat Coldcard dengan firmware mulai versi 4.0.1 ke atas, langkah yang disarankan jelas: perbarui firmware dan migrasikan dana ke seed baru yang dibuat ulang. Menunda hanya menambah risiko, terutama jika gelombang pencurian lanjutan terjadi. Identifikasi Galaxy atas potensi gelombang keempat pada 3 Agustus mengindikasikan jendela eksploitasi bisa masih terbuka bagi alamat yang terdampak dan belum terkuras.