Kerugian akibat celah firmware berusia bertahun-tahun pada hardware wallet Coldcard buatan Coinkite kini membengkak menjadi sekitar $88,6 juta, menurut data terbaru dari Galaxy Research. Gelombang pencurian baru terus menguras dompet-dompet yang masih rentan. Tranche terbaru saja mencatat 207,73 BTC, bagian dari total sekitar 1.367 BTC yang dicuri dari 4.585 alamat yang terdampak sejak kampanye ini dimulai.
Akar masalahnya berasal dari bug firmware Maret 2021 pada perangkat Coldcard yang menghasilkan seed phrase dengan tingkat keacakan (randomness) yang tidak memadai, sehingga private key bisa ditebak oleh siapa pun yang mampu mereplikasi proses pembuatannya yang cacat tersebut. Analis Galaxy Research, Alex Thorn, menyebut pola pencurian ini tampak ‘disengaja dan sistematis’ — mengindikasikan pelaku kemungkinan menggunakan orkestrasi large language model untuk secara sistematis mengidentifikasi dan menguras dompet yang terekspos.
Dana Mengendap, Dikuras Secara Sistematis
Dana korban rata-rata mengendap selama 3,18 tahun sebelum akhirnya disapu bersih, menurut analisis Galaxy — menunjukkan banyak pemilik dompet sama sekali tidak menyadari dompet mereka telah disusupi sampai koin mereka benar-benar lenyap. Investigator sejauh ini menandai sekitar 600 alamat yang diduga milik pelaku, meski dana curian tersebut sebagian besar masih mengendap tanpa pergerakan lebih lanjut — pola yang bisa mempersulit upaya pelacakan.
Baca juga: Kuras $89 Juta Dompet Coldcard, Analis: Ini Perkuat Alasan Beli ETF Bitcoin
Riset Galaxy juga memberikan peringatan tegas bagi siapa pun yang masih menyimpan dana di perangkat yang terdampak: seluruh alamat single-signature Coldcard yang dibuat setelah Maret 2021 ‘pada akhirnya akan terkuras’ kecuali pemiliknya memindahkan dana ke dompet baru yang belum terdampak.
Dampak Personal bagi Korban
Insiden terkonfirmasi paling baru dari pencurian ini, tertanggal 29 Juli, menambah panjang daftar korban individu. Pelatih asal Kanada, Jonathan Goodman, melaporkan kehilangan 18,25 BTC senilai hampir $1,6 juta CAD, dan menggambarkan pengalamannya secara blak-blakan: ‘Bagian tersulitnya mungkin adalah karena saya sudah melakukan semuanya dengan benar.’
‘Bagian tersulitnya mungkin adalah karena saya sudah melakukan semuanya dengan benar.’
Skala pengurasan ini bahkan telah memicu argumen dari sejumlah analis bahwa risiko kustodi dari hardware wallet self-hosted justru memperkuat alasan untuk beralih ke eksposur Bitcoin yang teregulasi lewat ETF. Dengan kerugian yang masih terus bertambah dan peringatan Galaxy bahwa masih banyak dompet terdampak yang belum aman, insiden ini berpotensi menjadi salah satu kegagalan keamanan hardware wallet paling signifikan dalam sejarah Bitcoin.
