Para penyidik meyakini FBI mungkin sudah mengidentifikasi sosok di balik gelombang pertama pencurian yang terkait dengan eksploitasi dompet hardware Coldcard, yang telah menguras bitcoin dari ribuan alamat sejak akhir Juli. Gelombang pertama saja mencatatkan sekitar 1.082,65 BTC, senilai kira-kira $11,8 juta saat itu, sementara catatan berjalan Galaxy Research atas keempat gelombang eksploitasi ini sudah membengkak menjadi sekitar 1.816 BTC, atau sekitar $116 juta, yang ditarik dari lebih dari 5.200 alamat.
Akar kerentanan ini berasal dari pembaruan firmware yang dirilis Coinkite untuk perangkat Coldcard-nya pada Maret 2021, versi 4.0.1, yang mengubah cara dompet tersebut menghasilkan seed phrase. Menurut riset yang dipublikasikan TRM Labs, kode yang cacat itu mengalihkan proses pembangkitan angka acak dari hardware random number generator khusus milik perangkat ke generator pseudorandom berbasis software, sehingga melemahkan entropi di balik private key wallet yang terdampak — bertahun-tahun sebelum pencurian ini terungkap.
Bagaimana Penyidik Melacak Aliran Dana
Investigasi terpisah oleh Block dan Galaxy Research menemukan bahwa pelaku gelombang pertama mengandalkan akun berbayar di salah satu penyedia data blockchain besar saat memindahkan dana curian, dan log internal penyedia tersebut cocok dengan pola aktivitas on-chain si pelaku dengan tingkat kecocokan yang menurut penyidik “luar biasa spesifik”. Kecocokan itulah yang disebut-sebut membawa penegak hukum semakin dekat untuk mengidentifikasi pelakunya, meski FBI belum secara resmi mengonfirmasi identifikasi tersebut atau mengajukan dakwaan apa pun.
Baca juga: Pria Georgia Dideportasi dari Fiji Terkait Dugaan Skema Ponzi Kripto $165 Juta
Banyak Pelaku, Banyak Gelombang
Analisis pola transaksi mengindikasikan lebih dari satu pelaku kemungkinan terlibat di sepanjang empat gelombang pencurian eksploitasi ini, yang berarti mengidentifikasi aktor gelombang pertama belum tentu menuntaskan sisa kasusnya. Para penyidik terus menelusuri gelombang-gelombang berikutnya, yang bersama-sama menyumbang porsi terbesar dari total sekitar $116 juta tersebut.
Pengingat: Bug pada Self-Custody Bisa Tidur Bertahun-Tahun
Jeda lima tahun antara pembaruan firmware yang cacat pada 2021 dan eksploitasinya pada pertengahan 2026 menggarisbawahi risiko yang khas pada dompet hardware: bug acakan yang halus bisa bersembunyi tanpa terdeteksi di perangkat yang konon sudah diaudit dan dipercaya luas, selama bertahun-tahun, sebelum akhirnya benar-benar dieksploitasi dalam skala besar. Bagi pengguna self-custody, kasus ini kemungkinan bakal memicu sorotan baru terhadap seberapa ketat pembaruan firmware dompet hardware ditinjau sebelum dirilis, dan seberapa cepat kerentanan diungkap begitu ditemukan.
