Galaxy Research Temukan Dugaan Pencurian 1.367 BTC dari Alamat Bitcoin Hasil Coldcard, Nilai Sekitar US$88,6 Juta

Laporan terbaru Galaxy Research menyoroti dugaan pembobolan yang menargetkan alamat Bitcoin yang dihasilkan oleh dompet perangkat keras Coldcard, memicu pertanyaan baru soal asumsi keamanan "cold storage". Berdasarkan analisis on-chain mereka, dana dari 4.585 alamat diduga disedot dalam tiga gelombang terpisah, dengan total 1.367,05 BTC atau sekitar US$88,6 juta. Galaxy memetakan dua pola serangan yang tampak memiliki struktur transaksi dan jejak perilaku serupa, mengarah pada dugaan satu operator. Dua gelombang awal ini disebut menyerang sekitar 3.200 alamat dan memindahkan kurang lebih 1.000 BTC. Gelombang ketiga muncul belakangan, dengan nilai per transaksi lebih kecil serta pola waktu yang berbeda. Perbedaan teknik ini bisa berarti pelaku yang sama beradaptasi terhadap perubahan kondisi, atau pelaku lain yang menemukan celah yang sama dan mengeksploitasinya pada ruang kunci yang rentan. Yang paling mengkhawatirkan, data on-chain mengindikasikan pelaku tidak perlu menyentuh perangkat fisik atau mengetahui PIN. Hipotesis yang mengemuka adalah adanya titik lemah pada proses pembentukan alamat, bukan pada interaksi langsung dengan perangkat. Jika kunci privat terbentuk dari entropi yang dapat diprediksi—baik karena masalah pada perangkat, lingkungan pengguna, atau komponen yang digunakan—pihak luar yang mengenali polanya berpotensi merekonstruksi kunci dan memindahkan dana. Isu kegagalan entropi bukan hal baru di kriptografi. Keamanan dompet perangkat keras bertumpu pada isolasi fisik kunci penandatanganan dan ketidakpastian (unpredictability) kunci itu sendiri. Banyak eksploitasi justru menembus lapisan pertama dengan merusak lapisan kedua. Galaxy menegaskan akar masalah belum terkonfirmasi, apakah terkait entropi yang tidak memadai saat pembuatan kunci, rantai pasok yang terkompromi, atau kebocoran side-channel. Pernyataan ini diposisikan sebagai batasan forensik on-chain: aktivitas di blockchain tidak bisa memastikan apa yang terjadi pada momen pra-chain saat kunci dibuat. Coldcard selama ini dikenal sebagai opsi "gold standard" untuk self-custody, dengan penandatanganan air-gapped dan beberapa lapisan keamanan fisik. Coldcard juga menggunakan generator angka acak dan memungkinkan pengguna menambah entropi, termasuk lewat lempar dadu. Meski begitu, bila vektor serangannya ada pada proses generasi alamat, dampaknya berpotensi melampaui satu model perangkat. Kerugian langsung—1.367 BTC—dinilai kemungkinan sulit dipulihkan. Konsekuensi yang lebih besar adalah risiko sistemik: kegagalan entropi tidak hanya menguras saldo yang ada, tetapi juga dapat mengompromikan alamat-alamat yang pernah dan akan dihasilkan dengan proses yang sama, sehingga satu insiden bisa merembet menjadi masalah menyeluruh bagi pengguna yang mengikuti langkah setup serupa. Pengungkapan ini muncul saat dorongan menuju penyimpanan non-kustodial menguat di tengah friksi regulasi. Perdebatan terkait regulasi kripto di AS yang masih berlangsung berpotensi mendorong lebih banyak pengguna beralih ke self-custody. Jika dompet perangkat keras yang dipercaya luas menunjukkan celah, argumen politik bahwa pengguna sebaiknya memegang kuncinya sendiri ikut melemah pada saat yang krusial. Laporan ini tidak mengubah nilai fundamental jaringan Bitcoin, yang tetap menunjukkan partisipasi pengembang kuat—sebagaimana tercermin dalam peringkat aktivitas pengembang terbaru. Yang berubah adalah perhitungan risiko soal cara menyimpan aset. Keamanan dompet perangkat keras dinilai belum menjadi masalah yang tuntas, melainkan perlombaan berkelanjutan antara desain chip, sumber entropi, dan kemampuan forensik on-chain untuk menemukan celah. Dalam jangka dekat, pertanyaan praktisnya adalah apakah pengguna Coldcard yang terdampak memiliki cara untuk memeriksa apakah alamat mereka termasuk dalam daftar yang disedot, serta apakah produsen akan memperjelas hasil audit firmware atau temuan investigasi internal. Keputusan Galaxy untuk mempublikasikan temuan tanpa akar masalah yang sudah dipastikan dinilai bertanggung jawab, tetapi meninggalkan ketidakpastian: dompet perangkat keras lain yang mengandalkan asumsi randomness serupa bisa menghadapi ancaman yang sama, dan arus keluar senilai US$88,6 juta mungkin baru bagian yang terlihat dari kelemahan yang lebih luas.