Coldcard Dihantam Gelombang Serangan Terorganisir Keempat—388,9 BTC Raib dalam 14 Blok

Pengguna Coldcard kembali menjadi sasaran gelombang pencurian terorganisir keempat, dengan skala yang kian besar. Alex Thorn, Head of Research di Galaxy Research, melaporkan lonjakan aktivitas berbahaya yang menguras sekitar 388,9 BTC dari 462 alamat korban hanya dalam 14 blok, yakni dari 960.778 hingga 960.792. Dalam rangkaian tersebut, tercatat 218 transaksi yang mengalirkan bitcoin ke 216 alamat tujuan yang sebelumnya belum pernah terlihat. Volume transaksi melonjak hingga sekitar 45 kali dari level normal sebelum insiden, memperkuat indikasi bahwa ini merupakan operasi yang dirancang rapi. Laporan awal juga menyebut sebagian dana curian sudah terlacak bergerak ke alamat "second-hop". Sejumlah transaksi serupa masih tertahan di mempool, menandakan proses "sweep" belum sepenuhnya tuntas. Data on-chain yang sudah terkonfirmasi menunjukkan transaksi menggunakan opsi Replace-by-Fee (RBF). Detail ini dapat menjadi celah sempit bagi korban yang bertindak cepat, selama transaksi keluar mereka masih dapat digantikan. Gelombang Terbaru: Cepat, Serempak, dan Berpola Yang membedakan gelombang ini dari pencurian oportunistis adalah kecepatannya serta koordinasi yang ketat. Ke-462 alamat disapu dalam rentang blok yang rapat, lalu dana langsung dikonsolidasikan ke alamat-alamat baru yang belum pernah dipakai. Pola alamat segar, konsolidasi berkecepatan tinggi, dan volume yang jauh melampaui kebiasaan mengarah pada penggunaan skrip yang disiapkan sebelumnya, bukan aksi manual. Peristiwa terjadi pada akhir pekan ketika banyak pengguna kemungkinan tidak memantau aktivitas transaksi. Galaxy Research menilai perpindahan sebagian dana ke dompet second-hop membuat pelacakan dan upaya pemulihan kian sulit tanpa tindakan segera. RBF dapat menjadi "lifeline", tetapi hanya bagi pengguna yang menyadari serangan saat transaksinya masih replaceable. Korban yang memiliki transaksi keluar berstatus pending dan belum terkonfirmasi, serta tidak terkunci pada fee rendah, berpeluang menyiarkan transaksi tandingan dengan fee lebih tinggi menuju alamat aman. Jendela waktunya sempit dan menuntut pemahaman teknis. Bagi banyak korban, dana sudah terlanjur berpindah. Rekam Jejak Serangan Terorganisir Ini bukan kali pertama pemilik Coldcard disasar. Menurut Galaxy Research, gelombang sebelumnya mengidentifikasi tiga kampanye terpisah yang menargetkan alamat yang dihasilkan Coldcard. Secara kumulatif, ketiga gelombang itu menguras 1.367,05 BTC dari 4.585 alamat, senilai sekitar US$88,6 juta pada saat pencurian. Insiden terdahulu mendorong Coldcard mengakui adanya kerentanan firmware yang memungkinkan penyerang menurunkan private key dari seed yang dibuat pada perangkat terdampak. Produsen menghentikan pengiriman dan memusnahkan seluruh perangkat COLDCARD yang masih tersisa dengan firmware rentan. Produk Satscard, Opendime, dan Tapsigner disebut tidak terdampak. Coldcard merilis firmware yang sudah ditambal untuk melindungi seed yang dibuat setelah pembaruan, tetapi perbaikannya tidak berlaku surut. Seed yang dihasilkan pada firmware rentan tetap dianggap kompromi. Panduan perusahaan bersifat tegas: buat seed baru pada firmware yang sudah dipatch dan segera pindahkan seluruh dana dari seed lama. Gelombang keempat ini mengindikasikan banyak pengguna belum melakukan migrasi tersebut, dan penyerang memanfaatkan keterlambatan itu secara sistematis. Respons Coldcard dan Panduan untuk Pengguna Keputusan Coldcard menghentikan pengiriman dan memusnahkan stok merupakan langkah drastis yang jarang dilakukan terbuka oleh vendor dompet perangkat keras. Langkah itu menegaskan kerentanan tersebut bukan sekadar risiko teoretis. Di sisi lain, distribusi patch menyoroti friksi yang melekat pada self-custody. Pengguna harus membuat seed phrase baru, yang berarti seluruh alamat dompet berubah dan kerap menuntut penyesuaian software wallet yang terhubung, konfigurasi multisig, serta prosedur cadangan. Migrasi ini tidak sederhana, dan gelombang serangan yang berulang menghukum pengguna yang menunda. Bagi pengguna yang masih menyimpan dana pada seed yang berasal dari firmware rentan, Galaxy Research menyarankan tindakan segera: pindahkan dana dari Coldcard sekarang, gunakan fee lebih tinggi dari biasanya agar transaksi cepat masuk blok, dan manfaatkan RBF jika dompet mendukung. Skala pengurasan alamat pada gelombang ini menunjukkan penyerang aktif memantau jaringan untuk menemukan saldo yang tersisa. Implikasi Lebih Luas bagi Self-Custody Kasus Coldcard bukan sekadar bug perangkat keras; ini menyoroti risiko rantai pasok dan risiko siklus hidup produk dalam self-custody. Pengguna mempercayai firmware bawaan pabrikan, dan proses verifikasi open-source pun dapat terlewat. Jika cacat dalam pembuatan seed tidak terdeteksi selama berbulan-bulan, upaya pemulihan setelahnya cenderung rumit dan lambat. Fakta bahwa empat gelombang serangan yang terpisah dapat terjadi dengan jeda berbulan-bulan mengisyaratkan penyerang sabar dan memiliki metode yang andal untuk mencocokkan seed dengan alamat, kemungkinan bersumber dari daftar hasil ekstraksi pada periode randomness yang lemah. Masih belum jelas apakah penyerang memegang daftar seed yang terkompromi secara penuh atau hanya sebagian, serta apakah ada kerentanan tambahan pada versi firmware lama yang belum diungkap Coldcard. Sifat serangan yang berkelanjutan mengindikasikan daftar korban bisa besar, sementara 462 alamat pada gelombang ini bisa jadi hanya batch terbaru. Jika penyapuan terus dilakukan, total kerugian berpotensi bertambah. Bagi pasar hardware wallet secara umum, peristiwa ini mengingatkan bahwa audit firmware dan pelaporan kerentanan yang transparan bukan opsi tambahan, melainkan inti dari janji keamanan produk.