Cacat firmware pada hardware wallet Coldcard buatan Coinkite telah memungkinkan penyerang menguras bitcoin secara sistematis dari ribuan alamat self-custody, dengan kerugian yang kini mendekati $89 juta dalam tiga gelombang pencurian berbeda. Galaxy Research, yang telah memantau eksploitasi ini sejak pertama kali muncul, menyebut gelombang ketiga terdeteksi pada Minggu dini hari dan mendorong total kerugian menjadi 1.367 BTC yang diambil dari 4.585 alamat.
Akar masalahnya berasal dari rilis firmware Coldcard Maret 2021, yang mengalihkan proses pembuatan seed phrase ke randomizer berbasis software yang bisa ditebak, alih-alih memakai hardware randomizer khusus milik perangkat. Perubahan itu secara efektif mempersempit kumpulan kemungkinan kunci menjadi himpunan terbatas yang bisa ditebak, sehingga penyerang bisa mereproduksi seed phrase yang terdampak tanpa pernah menyentuh perangkat korban secara fisik.
Tiga Gelombang, Tiga Pola Berbeda
Menurut Galaxy Research, gelombang pertama memindahkan 1.083 BTC dari 1.196 alamat pada 30 Juli, hanya dalam 41 menit, dengan mengalirkan koin curian ke sejumlah alamat kolektor bersama dan memproses korban satu per satu. Polanya berubah cukup jelas pada gelombang ketiga, yang berlangsung dari siang Jumat hingga Sabtu pagi UTC dan menarik 208 BTC dari 1.912 alamat.
Baca juga: CZ Peringatkan Holder Bitcoin Usai Eksploitasi Coldcard Bengkak ke $70 Juta
Gelombang ketiga itu terlihat lebih terencana: dana dikirim ke tujuan terpisah untuk masing-masing korban, bukan dikumpulkan ke alamat kolektor tunggal; transaksi memakai output pay-to-witness-script-hash alih-alih output single-key sederhana; dan proses penyapuan dana dilakukan dalam batch sekitar enam korban sekaligus, hanya memindai jalur derivasi default. Rata-rata jumlah yang diambil per korban juga turun tajam, dari hampir 1 BTC pada gelombang pertama menjadi hanya sedikit di atas 0,1 BTC pada gelombang ketiga, mengindikasikan pelaku sudah beralih menyasar saldo-saldo kecil yang sebelumnya terlewat.
Galaxy Research menyebut pihaknya meyakini setiap gelombang kemungkinan besar dijalankan oleh satu operator, namun tidak bisa memastikan apakah pihak yang sama mengorkestrasi ketiga gelombang tersebut, sebab analisis on-chain semata tidak bisa membedakan antara kampanye terkoordinasi dan aksi independen yang kebetulan menyapu ruang kunci rentan yang sama.
Rival Hardware Wallet Bergerak Menenangkan Pengguna
Dampaknya dengan cepat merembet ke luar Coinkite. Ledger menyebut wallet bitcoin miliknya tidak terdampak, merujuk pada sistem entropy 256-bit yang mereka pakai untuk pembuatan seed. Trezor pun memberi jaminan serupa kepada penggunanya.
Dana Anda aman. Masalah Coldcard baru-baru ini terbatas pada firmware khusus milik mereka dan cara sebagian perangkat mereka menghasilkan randomness. Trezor tidak memakai kode yang sama.
CEO Coinbase Brian Armstrong menyoroti air-gapping kunci sebagai standar keamanan yang layak diadopsi lebih luas, sembari mencatat bahwa cara itu sudah dipakai exchange tersebut untuk mengamankan produk ETF kripto mereka. Di sisi lain, Udi Wertheimer dari Taproot Wizards berpendapat insiden ini menyingkap betapa "mengkhawatirkan dan tidak realistisnya" ekspektasi terhadap self-custody bagi pemegang aset kebanyakan, memperingatkan bahwa serangan berbantuan AI kemungkinan akan membuat jenis eksploitasi seperti ini makin sering terjadi, bukan makin jarang.
Reaksi Pasar
Harga bitcoin sempat turun hampir 3% ke level terendah dua pekan di $62.400 usai kabar eksploitasi ini mencuat, sebelum kembali pulih di atas $63.000. Data Santiment menunjukkan sentimen pasar jatuh ke level terendah dalam empat bulan, suasana yang menurut firma tersebut sebanding dengan kehati-hatian yang terlihat saat eskalasi krisis Asia Barat pada April lalu. ETF bitcoin spot juga mencatat outflow bersih sekitar $265 juta pada Jumat seiring kabar ini menyebar luas.
