Galaxy Research menyatakan telah mengonfirmasi dengan tingkat keyakinan tinggi bahwa 1.719 BTC, senilai sekitar $111 juta, telah dicuri melalui eksploitasi hardware wallet Coldcard yang masih berlangsung, dan total kerugian pada akhirnya bisa membengkak melampaui $130 juta seiring investigasi yang terus berjalan.
Analisis perusahaan ini menemukan bahwa pencurian yang telah dikonfirmasi mencakup lebih dari 25 pola serangan berbeda dalam tiga gelombang terpisah, bukti yang menurut Galaxy menunjukkan banyak pelaku ancaman yang secara independen mengeksploitasi celah yang sama, bukan satu penyerang yang terkoordinasi.
Bug Firmware dari 2021
Akar masalahnya bermula dari kesalahan integrasi firmware pada Maret 2021 yang secara keliru mengarahkan pembuatan seed pada perangkat yang terdampak ke generator angka pseudorandom berbasis software, alih-alih menggunakan RNG berbasis hardware yang tertanam pada chip STM32 milik Coldcard. Celah ini tampaknya terbatas pada perangkat Coldcard Mk3, Mk4, Mk5, dan Q yang menjalankan firmware yang dirilis setelah 17 Maret 2021, artinya seed wallet mana pun yang dibuat pada perangkat rentan sejak saat itu secara teoretis bisa saja diprediksi oleh penyerang yang berhasil merekayasa balik bug tersebut.
Baca juga: Korban Peretasan Coldcard Rugi Median 1 BTC, Total Tembus $111 Juta
Dana Masih Diam, untuk Saat Ini
Yang menarik, para peneliti Galaxy menemukan bahwa mayoritas dana yang dicuri masih belum dibelanjakan di on-chain, dengan para penyerang memindahkan bitcoin tersebut ke dompet-dompet baru namun belum mengonversi atau menyebarkannya lewat jalur pencucian uang yang lazim — pola yang masih bisa memberi celah waktu bagi investigator dan bursa untuk menandai koin-koin bernoda ini sebelum akhirnya dicairkan. Insiden ini menambah rentetan masalah bagi keamanan hardware wallet secara umum, menyusul laporan sebelumnya yang mencatat kerugian korban rata-rata (median) mencapai 1 BTC per orang saat total pencurian pertama kali menembus $111 juta.
