Coinkite merilis firmware darurat untuk hardware wallet Coldcard-nya setelah penyerang menghabiskan berminggu-minggu menguras Bitcoin dari perangkat yang terdampak celah pembuatan seed yang sudah ada sejak 2021. Kerentanan ini mengurangi entropi kunci dari 128 bit penuh menjadi hanya sekitar 40 bit pada unit yang terdampak, sehingga memungkinkan penyerang menebak private key dengan upaya komputasi yang jauh lebih ringan dibandingkan wallet yang teracak dengan benar.
Pencurian ini berlangsung dalam gelombang yang makin membesar. Serangan awal pada Juli 2026 menguras 594 BTC senilai sekitar $38 juta dari sekitar 500 wallet hanya dalam 25 menit. Pada awal Agustus, total kerugian sudah membengkak menjadi sekitar $88,6 juta dari 4.585 alamat, dan pada 14 Agustus gelombang ketiga mendorong total kerugian melampaui 1.778 BTC atau sekitar $112 juta, sebelum akhirnya kerugian mengendap di angka sekitar $130 juta secara keseluruhan.
Bagaimana celah ini ditemukan — dan mungkin dieksploitasi
Coinkite mengatakan tinjauan internal selama tiga pekan yang dilakukan bersama peneliti keamanan luar dan model AI termasuk Kimi, menelusuri akar masalah ke kurangnya keacakan pada rutinitas pembuatan seed di firmware lama. Perusahaan menduga penyerang mungkin memakai alat AI untuk menyisir riwayat firmware open-source Coldcard demi menemukan kelemahan ini — detail yang menegaskan bagaimana analisis kode otomatis mengubah kalkulasi ekonomi penemuan kerentanan, baik bagi pihak bertahan maupun penyerang.
Apa yang berubah di firmware baru
Versi firmware 5.6.1 untuk model Mk4 dan Mk5 serta 1.5.1Q untuk model Q, yang dirilis 21 Agustus, kini mewajibkan pengguna menyumbang entropi secara manual saat membuat seed baru — minimal 65 kali penekanan tombol, 50 kali lemparan dadu, atau 128 kali lemparan koin, dikombinasikan dengan generator angka acak bawaan perangkat. Tinjauan yang sama juga memperkuat proses penandatanganan transaksi, menambal masalah penanganan data USB, memperketat validasi firmware, serta memperkuat keamanan Delta Mode dan backup wallet; Coldcard kini memeriksa transaksi Bitcoin yang sudah ditandatangani sebagian tepat sebelum penandatanganan untuk menutup celah serangan berbasis USB yang selama ini bersifat teoretis.
"Kami berterima kasih kepada para peneliti keamanan yang bekerja jauh melampaui yang diharapkan selama beberapa pekan terakhir," kata Coinkite.
Bagaimana celah Coldcard dibandingkan dengan insiden keamanan wallet lain
Insiden ini memicu perbandingan dengan jenis kerentanan hardware wallet lain yang tidak berkaitan, yang diungkap pesaingnya, Ledger. Tim keamanan Ledger mendemonstrasikan bahwa mereka bisa mengekstraksi seed secara fisik dari perangkat Trezor yang dicuri dalam waktu kurang dari lima menit menggunakan peralatan senilai sekitar $100, sebuah celah yang menurut Trezor tidak bisa ditambal lewat firmware. Ledger mengklaim belum ada seed yang berhasil diekstraksi dari perangkatnya sendiri tanpa PIN lewat eksploitasi publik mana pun, dan menegaskan produknya tidak terdampak bug entropi Coldcard. CTO Ledger, Charles Guillemet, menanggapi insiden Coldcard dengan mengatakan pihaknya menganggap ini sebagai "pengingat serius" bahwa lanskap keamanan hardware self-custody masih bergantung pada detail implementasi yang tidak terlihat oleh pengguna akhir.
Pola kegagalan bernilai tinggi di level kode yang berulang di seluruh industri ini menggemakan insiden 2026 lainnya, seperti kasus BounceBit yang mematikan total jaringan L1-nya usai eksploitasi token BB — kasus serupa di mana celah yang tidak terdeteksi menyebabkan kerugian sembilan digit sebelum akhirnya ketahuan.
Baca juga: BounceBit Matikan Total L1-nya Usai Eksploitasi Token BB Rp4,6 Triliun
Coinkite mendesak setiap pengguna yang terdampak untuk membuat seed baru dengan firmware terbaru dan memindahkan dana ke alamat baru, karena seed lama yang dibuat dengan rutinitas keacakan yang cacat tetap bisa ditebak terlepas dari adanya tambalan ini. Perusahaan mengatakan penegak hukum terus menyelidiki pencurian ini dan berupaya mengidentifikasi pelakunya, meski pemulihan dana yang dicuri dari buku besar publik Bitcoin tetap sulit begitu koin sudah berpindah melalui beberapa lompatan transaksi.
