Eksploit Coldcard Tembus US$100 Juta, 1.596 BTC Dilaporkan Dicuri

Kasus yang semula diduga sekadar pembobolan besar pada hardware wallet kini berkembang menjadi investigasi forensik yang jauh lebih luas, setelah temuan baru terus mengubah skala kerugian. Temuan awal mengaitkan eksploit Coldcard dengan 4.585 alamat dalam tiga gelombang serangan, dengan estimasi pencurian sekitar 1.367 Bitcoin (BTC) senilai kurang lebih US$88,6 juta. Investigasi berikutnya menemukan tambahan 1.912 alamat terdampak, menambah kerugian 207,73 BTC, serta menunjukkan seluruh koin hasil curian saat itu masih belum dibelanjakan. Data tersebut mengindikasikan pelaku lebih memprioritaskan konsolidasi dana ketimbang segera melikuidasi. Seiring penyelidikan meluas, kerugian yang telah terkonfirmasi kini melampaui 1.596 BTC dengan nilai lebih dari US$100 juta, tersebar di sekitar 7.300 alamat. Galaxy Research juga mengidentifikasi 14 insiden terkait berskala lebih kecil, yang mendorong total kerugian terduga mendekati 2.000 BTC atau hampir US$130 juta. Insiden ini disebut sebagai salah satu kegagalan paling serius di Bitcoin terkait keamanan kustodi dan memunculkan pertanyaan lebih luas mengenai ketahanan hardware wallet. Data blockchain memperkuat pemetaan dana Dalam perluasan investigasi, analisis blockchain turut mengungkap pola pengelolaan BTC curian pasca-serangan. Tiga gelombang pencurian yang sudah terkonfirmasi tetap menjadi fondasi kasus, sementara gelombang keempat yang masih diduga berpotensi menaikkan total kerugian menjadi 2.055 BTC, atau sekitar US$130 juta, apabila para korban mengonfirmasi keterkaitannya. Pergerakan dana dinilai mengikuti pola yang konsisten. Sekitar 90% BTC hasil curian dilaporkan masih tidak tersentuh. Koin yang ditransfer pada Wave 1, Wave 2, dan Wave 3 juga disebut tetap berada di alamat penerima. Minimnya aktivitas ini memperkuat keyakinan penyelidik dalam memetakan dompet yang dikendalikan penyerang dan menemukan alamat lain yang terhubung. Di sisi lain, penemuan pencurian kecil tambahan mengindikasikan adanya pelaku oportunistis yang memanfaatkan kondisi serupa setelah kompromi awal. Seiring atribusi blockchain membaik, penyelidik membagikan alamat yang telah terverifikasi kepada aparat penegak hukum, bursa, dan perusahaan kepatuhan, guna meningkatkan peluang pelacakan pergerakan dana berikutnya sekaligus membatasi ruang pencairan. Eksploit menguji kepercayaan pada self-custody Di luar aspek teknis, insiden ini mengguncang salah satu asumsi lama di ekosistem Bitcoin terkait self-custody. Peristiwa ini tidak dianggap membuktikan kelemahan konsep self-custody, melainkan menegaskan kebutuhan akan desain wallet yang matang serta generator entropi independen. Kasus ini juga memperkuat praktik perlindungan pengguna, termasuk penggunaan multisig dan metode pencadangan yang lebih baik. Sebagai respons, Coinkite merilis firmware darurat, menghentikan sementara pengiriman, dan menganjurkan pengguna membuat seed yang sepenuhnya baru sebelum memindahkan dana. Pembaruan perangkat lunak tidak dapat memperbaiki seed lemah yang sudah terlanjur dibuat. Pemulihan kepercayaan akan sangat bergantung pada audit keamanan yang transparan, randomisasi yang dapat diverifikasi, serta standar industri yang lebih jelas. Pada akhirnya, insiden ini berpotensi mengubah cara pengguna mengamankan Bitcoin, bukan menghilangkan minat pada self-custody. Ringkasan Eksploit Coldcard telah melampaui US$100 juta dengan total 1.596 BTC yang terkonfirmasi dicuri. Insiden ini mendorong penguatan praktik keamanan self-custody dan perlindungan wallet.