Galaxy Research Naikkan Estimasi Kerugian Insiden Coldcard jadi US$70 Juta

Galaxy Research, unit riset Galaxy Digital, memperluas penelusuran on-chain terkait insiden dompet Bitcoin Coldcard setelah mengidentifikasi 1.196 alamat yang terdampak. Dalam rentang 41 menit, alamat-alamat tersebut kehilangan total 1.082,65 BTC—bernilai sekitar US$70,2 juta pada saat transaksi terjadi. Penelusuran Galaxy mencakup perpindahan dana pada 30 Juli pukul 01.10–01.51 UTC, melintasi blok 960.183 hingga 960.191. Periode ini terjadi sekitar 30 jam sebelum Coldcard merilis imbauan keamanan pertamanya, memberi gambaran lebih jelas tentang apa yang kemungkinan dilakukan penyerang segera setelah dompet yang rentan menghasilkan seed. Temuan utama - Galaxy Research mengaitkan 1.196 alamat dengan insiden Coldcard dan melacak kerugian 1.082,65 BTC dalam jendela 41 menit. - Aktivitas berlangsung pada 30 Juli pukul 01.10–01.51 UTC di blok 960.183–960.191, sekitar 30 jam sebelum advisory awal Coldcard. - Estimasi sebelumnya dari CEO AnchorWatch, Rob Hamilton, lebih rendah: 594,48 BTC dalam jendela tiga blok yang lebih sempit. - Galaxy menyebut transaksi memiliki pola on-chain yang khas—biaya identik 30 satoshi per virtual byte dan tanpa output kembalian (change)—meski penyapuan berikutnya bisa memakai pola berbeda. Peta serangan diperluas Galaxy menyatakan perpindahan Bitcoin terkait insiden terkonsentrasi pada satu lonjakan aktivitas pada 30 Juli. Dana dari alamat yang terkait kompromi dompet Coldcard disebut "disapu" (swept) pada pukul 01.10–01.51 UTC. Kerugian terkumpul dalam rentang blok yang pendek, 960.183–960.191, mengindikasikan operasi serangan kemungkinan berjalan otomatis dengan struktur transaksi yang berulang, bukan perpindahan manual yang sporadis. Nilai 1.082,65 BTC tersebut setara sekitar US$70,2 juta pada saat dana keluar. Dari sisi waktu, temuan ini menonjol karena penelusuran Galaxy dimulai sekitar sehari sebelum advisory keamanan pertama dipublikasikan, mengisyaratkan dana yang terdampak sudah dipindahkan sejak awal sementara respons publik muncul belakangan. Pencocokan pola bantu konfirmasi transaksi—dengan batasan Dalam analisis lanjutan, Galaxy menyebut transaksi yang teridentifikasi memiliki "sidik jari" yang sama: biaya 30 satoshi per virtual byte dan tidak ada output change. Karakteristik ini berguna untuk investigasi karena dapat membantu melakukan clustering aktivitas yang terkait dompet, sehingga menurunkan risiko salah mengaitkan transfer yang tidak berhubungan. Galaxy juga mengingatkan bahwa meski gelombang awal terlihat jelas lewat pola tersebut, serangan lanjutan terhadap alamat yang dibuat dari seed Coldcard bisa saja tidak mempertahankan fingerprint yang sama. Bagi pengguna dan analis, ini berarti penghitungan insiden yang hanya mengandalkan satu struktur transaksi yang mudah dikenali berisiko meremehkan total kerugian bila putaran berikutnya menggunakan biaya atau perilaku output yang berbeda. Estimasi awal lebih kecil karena jendela analisis lebih sempit Sebelum pemetaan Galaxy yang lebih luas, analisis pendahuluan dari CEO sekaligus cofounder AnchorWatch, Rob Hamilton, memperkirakan 594,48 BTC—sekitar US$38 juta pada saat itu—bergerak melalui 500 transaksi dalam jendela tiga blok. Angka Hamilton diambil dari segmen aktivitas on-chain yang lebih ketat, mencerminkan bagaimana insiden dompet yang bergerak cepat sering melampaui investigasi awal. Dataset Galaxy memperbarui gambaran dengan memperluas cakupan alamat dan rentang waktu pelacakan di sekitar lonjakan 30 Juli, sehingga hampir menggandakan total BTC yang dikaitkan dengan aktivitas penyapuan. Perbedaan estimasi ini menegaskan tantangan umum respons insiden pada sistem self-custody: memastikan cakupan penuh bisa membutuhkan beberapa hari penelusuran, clustering, dan validasi, terutama ketika penyerang mengulang logika yang mirip di banyak transaksi dan tujuan. Coinkite akui bug firmware dan minta pengguna migrasi seed Produsen Coldcard, Coinkite, menyatakan bertanggung jawab atas masalah dasarnya. Dalam unggahan di X pada Jumat, cofounder Coinkite Rodolfo Novak mengatakan perusahaan sedang menilai cakupan penuh masalah dan mengonfirmasi telah merilis hotfix untuk menghapus jalur fallback perangkat lunak. Novak juga menekankan keterbatasan mitigasi tersebut: pembaruan tidak melindungi seed yang sudah dibuat pada firmware yang rentan. Secara praktis, pengguna yang membuat seed phrase pada periode terdampak disarankan memindahkan dana ke seed baru. Ini sejalan dengan risiko inti kompromi berbasis seed—jika kerentanan memengaruhi cara seed atau jalur eksekusi terkait bekerja, pembaruan firmware tidak otomatis mengamankan kunci yang sudah terlanjur dibuat. Dampak operasionalnya, pemulihan menuntut transfer ke material kunci yang lebih aman, bukan sekadar pembaruan perangkat. Yang perlu dipantau pengguna Pola penyapuan on-chain yang diidentifikasi Galaxy memberi dasar yang lebih terstruktur untuk melacak aktivitas terkait. Meski begitu, peringatan bahwa serangan berikutnya dapat muncul dengan fingerprint berbeda menunjukkan insiden ini masih bisa berkembang dalam bentuk yang tampak di on-chain. Pengguna yang khawatir pernah membuat seed pada firmware rentan disarankan memigrasikan sisa saldo ke seed yang baru dibuat dan memantau pergerakan lanjutan pada alamat yang terkait dengan logika penyapuan tersebut.