Peretas Curi 594 BTC dari 500 Dompet lewat Seed Phrase yang Lemah
Sebanyak 594 BTC dilaporkan dicuri dari sekitar 500 dompet kripto dengan memanfaatkan seed phrase yang lemah. Atlas21 mencatat, saat serangan berlangsung pelaku menarik 1.324 UTXO (unspent transaction outputs), yakni sisa bitcoin yang masih tersimpan di dompet setelah transaksi tertentu.
Koin hasil curian belum terdeteksi dipindahkan ke bursa maupun layanan "crypto mixer". Saat ini 562 BTC tersimpan di satu alamat baru, sedangkan 32 BTC berada di alamat perantara. Pola transaksinya konsisten: setiap transaksi pelaku mengosongkan tepat satu alamat milik korban. Dari total alamat terdampak, 419 alamat hanya memiliki satu UTXO, tetapi ada pula yang mengumpulkan hingga 105 atau 200 UTXO.
Kerugian median per korban tercatat 0,41 BTC (sekitar US$26.500). Sebanyak 110 korban kehilangan lebih dari 1 BTC, sementara kerugian terbesar mencapai 29,9 BTC (hampir US$2 juta). Tidak ada korban yang kehilangan kurang dari 0,15 BTC, sehingga pakar keamanan menduga pelaku menyaring target berdasarkan saldo minimum.
Investigasi bermula setelah seorang blogger di Reddit melaporkan pencurian aset kripto. Menurut pengakuannya, ia membeli dompet Coldcard pada 2021; seed phrase 24 kata dibuat langsung di perangkat, dana dikirim ke dompet tersebut, lalu tidak ada aktivitas selama bertahun-tahun. Pada Januari tahun lalu, pengguna itu membeli Coldcard kedua dan memasukkan kembali seed phrase lama untuk "memastikan kata-katanya benar". Ia menyatakan tidak pernah membagikan seed phrase kepada siapa pun dan hanya menggunakannya di Coldcard.
Coinkite mengakui adanya isu keamanan yang memengaruhi seed phrase yang dibuat pada perangkat Coldcard Mk3. Pabrikan merekomendasikan seluruh pengguna yang membuat seed phrase di Mk3 dengan firmware versi 4.0.1 (dirilis Maret 2021) atau versi lebih baru agar menganggap dana mereka sudah berisiko. Coinkite menegaskan model Mk4, Q, dan Mk5 tidak terdampak.
Sebagai langkah mitigasi, Coinkite menyarankan pemilik Mk3 membuat BIP39 passphrase unik langsung di perangkat dan memindahkan dana ke dompet baru. Perusahaan menyebut penyebab kerentanan belum teridentifikasi. Dipastikan pula tidak ada dompet terdampak yang menggunakan multisignature.
Analis blockchain Atlas21 menilai masalahnya bukan pada perangkat dompet perangkat keras itu sendiri, melainkan pada seed phrase yang lemah. Pengguna yang terdampak diduga mengimpor kombinasi kata yang sudah bocor atau mudah ditebak ke perangkat mereka. Para ahli keamanan menjelaskan, akibat "randomness" yang tidak memadai dalam pembuatan seed phrase, private key untuk UTXO tertentu dapat di-bruteforce dengan relatif mudah, dan itulah yang dilakukan penyerang.
Dalam insiden terpisah, perusahaan berbasis Singapura TripleA, penyedia infrastruktur pembayaran untuk stablecoin dan aset kripto lain bagi pelaku usaha, juga mengalami serangan siber. Nilai kerugiannya diperkirakan mencapai US$11,8 juta.
