Salah satu kegagalan self-custody terbesar dalam sejarah Bitcoin ternyata berakar dari bug firmware yang bersembunyi tanpa terdeteksi selama lima tahun. Whale Insider melaporkan bahwa cacat pada dompet perangkat keras Coldcard menyebabkan 1.816 BTC, senilai sekitar $116 juta, berhasil dicuri, insiden yang kembali memunculkan pertanyaan soal seberapa besar kepercayaan yang sebenarnya layak diberikan pada perangkat keras self-custody.
Cacat yang Berusia Lima Tahun
Menurut riset yang dipublikasikan TRM Labs, kerentanan ini sudah ada di firmware Coldcard versi 4.0.0 sejak Maret 2021. Dalam kondisi tertentu, perangkat ini melewati chip randomness khusus miliknya saat membuat kunci, lalu jatuh ke pengganti software yang polanya bisa ditebak, artinya seed phrase apa pun yang dibuat di perangkat terdampak sebenarnya tidak pernah seacak yang dikira penggunanya.
Empat Gelombang Penguras Dana
Pencurian ini bukan kejadian sekali jalan. Analisis TRM Labs menunjukkan penyerang mulai memindahkan dana pada 30 Juli dan mengeksekusi penguras dana dalam empat gelombang terpisah, pada akhirnya menarik sekitar 1.816 BTC dari lebih dari 5.200 alamat yang dibuat di perangkat Coldcard selama periode yang terdampak. Skala dan eksekusi bertahap ini mengindikasikan penyerang sudah memetakan sejumlah besar alamat rentan jauh sebelum mulai menarik dana, bukan menemukan dan mengeksploitasinya secara real-time.
Baca juga: Situs Baru ZachXBT Bakal Tolak Kasus dari 7 Negara
Yang Perlu Dilakukan Pengguna Coldcard
Coinkite, pembuat Coldcard, mendesak siapa pun yang membuat seed di perangkat tersebut antara Maret 2021 hingga firmware ditambal untuk menganggap seed itu sudah bocor, dan segera memindahkan dana ke dompet yang baru dibuat. CEO Coinkite, Rodolfo Novak, menduga analisis kode berbasis AI mungkin berperan dalam terungkapnya bug ini, meski peneliti keamanan independen justru menunjuk pada kesalahan rekayasa sederhana dalam implementasi fallback randomness tersebut. Apa pun penyebabnya, insiden ini jadi pengingat bahwa dompet perangkat keras bukan pengganti untuk memverifikasi rekam jejak keamanan sebuah perangkat, dan bug firmware bisa saja tertidur bertahun-tahun sebelum siapa pun, baik penyerang maupun pembela, menemukannya.
