Coinkite, pembuat hardware wallet Bitcoin Coldcard, mengatakan kepada Bloomberg bahwa pihaknya kini fokus membantu pelanggan yang terdampak dan akan menerbitkan post-mortem atas insiden keamanan yang sudah berlangsung berhari-hari dan telah menguras bitcoin dari ribuan alamat. Perusahaan ini enggan menaksir skala kerugian pelanggan, sekalipun pelacak luar sudah memperkirakan kerusakannya berada di kisaran $100 juta hingga $130 juta.
Kerentanan ini bersumber dari firmware versi 4.0.0, yang sudah aktif sejak Maret 2021, yang menyebabkan perangkat Coldcard yang terdampak melewati chip randomness khusus miliknya saat proses pembuatan kunci dan malah mengandalkan pengganti software yang bisa ditebak. Celah itu memungkinkan peretas menebak seed phrase bitcoin dan, menurut laporan soal eksploit ini, menguras sekitar 1.816 BTC dari sekitar 5.200 alamat. Bug ini memengaruhi perangkat Mk3 tertentu yang menjalankan firmware 4.0.1 atau lebih baru, bersama perangkat Mk4, Mk5, dan Q pada versi firmware yang lebih lama.
Belum ada kompensasi yang ditawarkan
Coinkite belum menawarkan kompensasi kepada pengguna yang terdampak per pernyataannya kepada Bloomberg, dan memposisikan perannya saat ini sebatas membantu korban, bukan menanggung kerugian. Keputusan perusahaan untuk menahan estimasi kerugian sampai post-mortem-nya rampung membuat angka kerusakan final — dan pertanyaan soal remediasi — tetap menggantung untuk saat ini, sementara pelacak on-chain terus mengikuti pergerakan dana sang peretas.
Sang peretas belum berhenti menggerakkan dana
Eksploit ini terus memicu aktivitas on-chain jauh setelah pengurasan awal, dengan sang peretas kembali menggerakkan bitcoin curian dalam beberapa hari sejak serangan pertama kali terdeteksi. Aktivitas yang berlanjut ini membuat insiden ini menjadi salah satu kegagalan keamanan hardware wallet yang paling dipantau ketat belakangan ini, mengingat reputasi Coldcard sebagai perangkat cold-storage yang berfokus pada keamanan dan dirancang khusus untuk menjaga private key tetap offline dan jauh dari jenis kompromi jarak jauh seperti ini.
Baca juga: Peretas Eksploit Coldcard Kembali Gerakkan Bitcoin Curian
Coinkite belum memberikan linimasa kapan post-mortem-nya akan diterbitkan.
