Coinkite, produsen hardware wallet Coldcard, telah merilis firmware darurat setelah para peneliti menyebutnya sebagai eksploitasi hardware wallet terbesar dalam sejarah kripto. Penyerang berhasil menguras sekitar 1.816 BTC — setara lebih dari $116 juta — dari lebih dari 5.200 alamat dengan mengeksploitasi celah firmware yang ternyata sudah ada sejak rilis Maret 2021, lima tahun lalu.
Bug ini berasal dari kesalahan konfigurasi build yang membuat perangkat yang terdampak menghasilkan seed wallet menggunakan generator angka acak berbasis software yang lemah, alih-alih memanfaatkan sumber entropi hardware khusus milik perangkat. Menurut riset yang dipublikasikan TRM Labs, celah ini menjatuhkan kekuatan efektif kunci yang seharusnya dirancang 128 bit menjadi hanya 40 bit pada perangkat generasi lama — cukup lemah untuk dibobol dengan kekuatan komputasi modern, bahkan tanpa perlu akses fisik ke wallet itu sendiri. Begitu celah ini ditemukan, penyerang bergerak sangat cepat: pada gelombang pertama saja, 1.082 BTC berhasil ditarik dari 1.196 alamat hanya dalam waktu sekitar 41 menit.
Entropi Manual Kini Wajib untuk Setiap Seed Baru
Perbaikan Coinkite yang dirilis pada 31 Juli menutup celah ini dengan cara yang cukup drastis: mengambil alih sepenuhnya proses pembuatan angka acak dari tangan software. Setiap seed Coldcard baru sekarang mengharuskan pemiliknya menyumbangkan entropi secara fisik — bisa lewat 65 kali penekanan tombol pada interval yang tidak dapat diprediksi, 50 kali lemparan dadu bermata enam, atau 128 kali lemparan koin. Siapa pun yang membuat seed di Coldcard antara Maret 2021 hingga patch 31 Juli sebaiknya menganggap seed tersebut berpotensi bocor dan segera memindahkan dananya ke seed yang baru dibuat. Mengingat celah ini terbuka selama lima tahun, populasi pengguna yang terdampak kemungkinan jauh lebih besar daripada 5.200 alamat yang sudah benar-benar terkuras.
Bagian dari Evaluasi Besar-Besaran Soal Audit Berbasis AI
Insiden Coldcard kini menjadi rujukan bagi dorongan yang lebih luas untuk memperkuat stack software Bitcoin memakai audit kode berbasis AI. Sebuah upaya sukarela yang kerap disebut "red team" Bitcoin — beranggotakan sekitar 25 pengembang — telah memindai 501 proyek di seluruh ekosistem untuk mencari bug sejenis, melanjutkan pelajaran langsung dari kasus Coldcard ini.
Baca juga: Tim Sukarelawan Kejar Waktu Amankan Software Bitcoin dari AI
Salah satu temuan menarik dari proses pemindaian tersebut: bug yang ditemukan oleh perangkat AI buatan China ternyata mampu menangkap kelas kerentanan yang menurut laporan tidak dikonfigurasi untuk dideteksi oleh sejumlah perangkat AI buatan Barat — sebuah kesenjangan yang menurut para peneliti punya implikasi nyata terhadap cara industri memeriksa rantai pasok hardware dan software miliknya sendiri.
Bagi pengguna Coldcard secara khusus, pesan dari perusahaan maupun peneliti luar cukup tegas: periksa kapan seed Anda dibuat, dan jika jatuh dalam rentang waktu yang terdampak, jangan menunda untuk memindahkannya.
