Riset Galaxy: Pencurian Bitcoin US$70 Juta dari Cold Wallet Terjadi karena Kelemahan Seed

Sebagian besar peretasan di dunia kripto biasanya berawal dari kunci privat yang bocor—akibat phishing, malware, atau pencurian perangkat hardware wallet. Temuan terbaru dari Galaxy Research menunjukkan pola berbeda: lebih dari 1.000 BTC, senilai sekitar US$70 juta, terkuras dari hampir 1.200 wallet tanpa pelaku perlu menyentuh satu pun perangkat. Menurut laporan tersebut, serangan ini bukan memanfaatkan celah hardware atau penyusupan jaringan. Sasarannya ada pada fondasi pembentukan wallet: kualitas keacakan (entropy) saat seed pertama kali dibuat. Galaxy menyimpulkan bahwa proses seed generation yang lemah memungkinkan pelaku merekonstruksi kunci privat secara offline. Setelah kunci berhasil ditebak, dana kemudian disapu dari jarak jauh dengan memantau blockchain. Cold wallet tetap utuh secara fisik—tidak ada perangkat yang "di-hack", tidak ada tautan berbahaya yang diklik. Ini murni serangan matematis yang mengeksploitasi entropy yang tidak memadai. Cara Serangan Berjalan Tanpa Akses Fisik Cold wallet selama ini dianggap standar emas self-custody karena kunci privat disimpan pada perangkat yang terisolasi (air-gapped), sehingga permukaan serangan dinilai kecil. Asumsi itu runtuh jika seed phrase—cadangan yang bisa dibaca manusia—dibuat menggunakan random number generator yang dapat diprediksi atau berkualitas rendah. Dalam skenario seperti ini, pelaku dapat menghitung kandidat kunci privat secara offline, memindai ledger Bitcoin untuk menemukan alamat yang cocok, lalu mengurasnya sebelum pemilik menyadari. Galaxy tidak mengungkap merek wallet yang terdampak maupun metode spesifik yang digunakan untuk mengidentifikasi seed yang lemah. Temuan tersebut mengindikasikan pelaku berpotensi terus melakukan pencarian tanpa batas, memindai wallet lain yang dibuat dalam kondisi entropy yang sama. Akibatnya, total kerugian bisa melampaui US$70 juta yang sudah terdeteksi. Tipisnya Batas antara Keamanan dan Entropy Proses pembuatan seed kerap dipandang remeh—baik oleh pengguna maupun produsen wallet. Sejumlah wallet mengandalkan pseudorandom number generator yang dipicu oleh sensor perangkat, timing input pengguna, atau sumber "keacakan" dari hardware internal. Jika salah satu sumber ini mudah ditebak atau bias, kunci privat yang dihasilkan menjadi dapat ditebak. Penyerang bisa melakukan precompute tabel besar berisi kemungkinan kunci dari seed yang lemah, lalu mengotomatisasi proses untuk menyapu dana. Riset Galaxy menekankan risiko self-custody yang tak terlihat oleh banyak pemegang aset: perangkat bisa saja tahan terhadap manipulasi fisik, tetapi tetap menghasilkan kunci yang tidak aman. Insiden ini kembali menegaskan bahwa model keamanan Bitcoin pada akhirnya hanya sekuat entropy di balik pasangan kuncinya. Masalah ini bukan hal baru—kelemahan randomness pernah memicu kompromi wallet Ethereum—namun skala kasus kali ini menonjol dan disebut menargetkan cold storage. Dampak bagi Regulasi dan Industri Di tengah perdebatan regulasi aset digital, temuan semacam ini berpotensi mengubah arah diskusi mengenai standar perlindungan konsumen untuk infrastruktur wallet. Di Washington, isu seperti "Banks Are Trying to Kill the Biggest Crypto Bill in US History Four Days Before the Senate Vote" masih menjadi pertarungan, tetapi episode pengurasan US$70 juta bisa memperkuat dorongan untuk menetapkan persyaratan keamanan minimum pada perangkat lunak wallet. Industri kripto umumnya menolak regulasi preskriptif terkait self-custody. Meski begitu, rekam jejak pencurian yang berulang akibat implementasi yang cacat dapat menggeser kalkulasi tersebut. Bagi penyedia wallet, temuan ini meningkatkan tuntutan transparansi terkait sumber entropy dan audit proses seed generation. Dari sisi pengguna, hampir tidak ada cara andal untuk memverifikasi apakah angka acak yang dihasilkan perangkat benar-benar acak. Review keamanan independen dan desain open-source tetap menjadi pertahanan paling kredibel, tetapi adopsi standar yang lebih baik masih lambat. Yang Masih Jadi Celah Informasi bagi Pasar Galaxy tidak menyebut merek wallet yang terdampak, membuat pengguna sulit menilai apakah perangkat mereka berisiko. Minimnya detail memunculkan pertanyaan soal responsible disclosure dan kapan perbaikan publik dapat dilakukan. Laporan itu juga tidak menjelaskan apakah pelaku mengeksploitasi satu sumber entropy lemah yang sama pada berbagai produsen, atau ada satu model wallet tertentu yang menjadi akar masalah. Tanpa kejelasan tersebut, saran seperti mengganti seed atau berpindah perangkat menjadi sulit ditakar. Kasus ini juga menyoroti isu yang lebih dalam: kepemilikan Bitcoin on-chain yang lama tidak bergerak merupakan target empuk bagi penyerang komputasional yang punya waktu dan sumber daya. Seiring kemajuan komputasi kuantum dan kemampuan brute-force, jarak antara keamanan teoretis dan kerentanan praktis akan makin menyempit. Laporan Galaxy menjadi sinyal bahwa kegagalan entropy sudah dieksploitasi dalam skala besar saat ini, bukan ancaman yang masih jauh di masa depan.