Galaxy: Bitcoin Senilai US$70 Juta Dikuras dari 1.196 Wallet Coldcard, Terjadi Menjelang Pengungkapan Celah Kritis

Wallet perangkat keras selama ini dipandang sebagai standar emas keamanan kripto: kunci privat disimpan offline, jauh dari peretas, bursa, dan koneksi internet. Keyakinan itu terpukul bagi sebagian pengguna Coldcard Mk3. Menurut Galaxy Research, pada 30 Juli 2026 pelaku menguras 1.082,65 BTC—senilai sekitar US$70,2 juta—dari 1.196 wallet hanya dalam waktu kurang lebih 41 menit. Aksi ini terjadi sekitar 30 jam sebelum Coinkite, pengembang Coldcard, mengumumkan secara terbuka adanya kerentanan kritis pada firmware. Akar masalahnya berada pada random number generator (RNG) di firmware Coldcard Mk3 versi 4.0.1 hingga 5.0.3. RNG digunakan saat perangkat menghasilkan recovery seed, yakni "kata sandi utama" yang dibentuk dari rangkaian angka acak. Jika angka yang dihasilkan tidak benar-benar acak, seed dapat diprediksi. Seed yang bisa ditebak memungkinkan penyerang menghitung kunci privat tanpa perlu menyentuh perangkat. Tim engineering Block juga mengidentifikasi penyebab utama cacat RNG tersebut secara independen dan menerbitkan laporan rinci pada hari yang sama ketika Coinkite merilis security advisory. Kedua pengungkapan itu sama-sama terbit pada 30 Juli 2026—saat dana di wallet yang terdampak sudah lebih dulu lenyap. Coinkite menegaskan kerentanan ini tidak mengenai seluruh perangkat Coldcard, melainkan hanya unit yang menjalankan versi firmware yang terdampak. Pengguna yang termasuk kategori tersebut diminta segera membuat recovery seed baru sepenuhnya dan memindahkan dana mereka. Kecepatan pengurasan menjadi sorotan utama: 41 menit untuk menyapu 1.196 wallet dengan nilai lebih dari US$70 juta dalam Bitcoin bukan operasi manual. Ini mengindikasikan otomatisasi, pengintaian sebelumnya, serta daftar alamat rentan yang sudah disiapkan. Data on-chain menunjukkan banyak wallet sumber telah lama tidak aktif sebelum serangan. Hal ini mengarah pada kemungkinan korban merupakan long-term holder yang menyiapkan perangkat bertahun-tahun lalu dan tidak memindahkan aset sejak itu, karena mengandalkan keamanan hardware wallet. Setelah serangan dimulai, dana curian cepat dikonsolidasikan ke lebih sedikit alamat. Riset Galaxy menandai satu alamat yang menerima sekitar 594 BTC dari rangkaian sapuan tersebut. Jeda sekitar 30 jam antara pengurasan dan pengumuman publik Coinkite memunculkan pertanyaan yang akan terus dibahas komunitas keamanan: siapa yang mengetahui celah ini lebih dulu, dan kapan? Salah satu kemungkinan adalah pelaku menemukan sendiri kelemahan RNG dan bergerak sebelum temuan Coinkite maupun Block dipublikasikan. Coinkite maupun Galaxy tidak menuduh adanya pelanggaran dalam proses pengungkapan. Dalam advisory-nya, Coinkite juga tidak menyatakan pelaku memiliki pengetahuan sebelumnya; fokus komunikasinya pada langkah cepat bagi pengguna: membuat seed baru dan memeriksa versi firmware yang dipakai. Bagi pengguna hardware wallet, pelajarannya jelas: versi firmware bukan pembaruan kosmetik. Cacat pada RNG termasuk kerentanan yang mendekati katastropik karena merusak fondasi pembangkitan kunci. Pengguna hardware wallet apa pun perlu mengetahui versi firmware perangkatnya dan memastikan produsen tidak mengeluarkan security advisory terkait. Skala dan kecepatan pengurasan senilai US$70,2 juta juga menegaskan tingkat kecanggihan pelaku: kemampuan teknis mengeksploitasi kerentanan RNG, infrastruktur untuk mengotomatisasi sapuan hampir 1.200 wallet secara serentak, serta disiplin operasional untuk bergerak dalam jendela waktu sempit sebelum pengungkapan publik.