Dampak finansial dari celah kritis pada hardware wallet Coldcard hampir dua kali lipat dari estimasi awal, dengan Galaxy Research kini mematok total kerugian mencapai 1.082,65 BTC — sekitar $70,2 juta — yang terkuras dari 1.196 alamat. Pencurian ini terjadi dalam jendela waktu yang mencolok, hanya 41 menit, pada 30 Juli, mendorong pendiri Binance Changpeng Zhao untuk mengingatkan publik bahwa tidak ada metode penyimpanan yang benar-benar aman.
Zhao, yang lebih dikenal sebagai CZ, menulis di X dan mendesak pemegang bitcoin untuk menyebar dana mereka ke beberapa wallet, bukan mengonsentrasikannya di satu perangkat saja.
Nothing is 100%
tulisnya, mengakui bahwa bahkan hardware wallet yang sudah mapan sekalipun bisa menyimpan bug yang belum terdeteksi, dan tidak ada setup yang benar-benar tanpa celah.
Asal Mula Celah Ini
Akar masalahnya berasal dari kesalahan build firmware pada Maret 2021 di Coinkite, produsen perangkat Coldcard. Unit yang terdampak menghasilkan seed private key dari fallback software, bukan mengandalkan generator angka acak berbasis hardware khusus milik perangkat — membuat key yang dihasilkan jauh lebih mudah diprediksi, dan pada akhirnya bisa dibobol oleh penyerang yang memahami kelemahan tersebut.
Estimasi Awal Jauh Meleset
Ketika eksploitasi ini pertama kali terungkap, peneliti memperkirakan kerugian sekitar 594 BTC, atau sekitar $38 juta, tersebar di sekitar 500 wallet. Hitungan terbaru dari Galaxy Research lebih dari dua kali lipat baik dari sisi jumlah bitcoin maupun jumlah alamat yang terdampak, menunjukkan bahwa kerentanan ini memiliki dampak jauh lebih luas dari yang dipahami sebelumnya.
Jejak Forensik Serangan
Galaxy Research mengidentifikasi pencurian terkoordinasi ini lewat sejumlah pola on-chain yang khas: fee transaksi yang identik dan hardcoded di setiap penarikan, tidak adanya change output, serta pemindaian sistematis di berbagai jalur derivasi key yang mencakup baik alamat SegWit terbaru maupun format alamat lama. Bitcoin yang dicuri dikonsolidasikan hanya dalam hitungan menit setelah disapu, tetapi sejak itu tetap diam tak bergerak — mengindikasikan penyerang mungkin masih menunggu sebelum memindahkan atau mencairkan dana tersebut.
Respons Coinkite
Coinkite telah merilis patch firmware darurat dan mendesak pelanggan mana pun yang mungkin masih menjalankan build yang terdampak untuk segera memindahkan dana mereka ke seed yang baru dibuat. Insiden ini menambah daftar panjang kerentanan hardware dan software wallet berprofil tinggi yang sesekali mengguncang kepercayaan terhadap alat self-custody, meski sektor ini terus mempromosikannya sebagai cara paling aman untuk menyimpan bitcoin dalam jangka panjang.
